Um JSON Web Token tem tres partes codificadas em Base64URL e separadas por pontos: um cabecalho, um payload de claims e uma assinatura. APIs usam JWTs como tokens bearer. Decode le as partes. Encode monta um token assinado com HS256 para testes.

Este decodificador verifica a assinatura?

Nao. A aba Decode nunca verifica. A verificacao precisa do segredo ou da chave publica e deve acontecer em um servidor confiavel. Decodificar so mostra o que o token afirma, e qualquer pessoa pode forjar isso.

Posso codificar ou assinar um JWT aqui?

Sim, na aba Encode desta mesma pagina - nao existe uma URL jwt-encoder separada. Ela assina JSON compacto com HMAC-SHA256 (HS256) no navegador. Use um segredo de teste, nunca uma chave de producao.

Por que so HS256 e nao RS256?

HS256 e HMAC com um segredo compartilhado e roda na API Web Crypto sem enviar uma chave privada. RSA e ECDSA precisam de pares de chaves e pertencem a um servidor. Esta pagina fixa alg em HS256 para o cabecalho nao dizer RS256 enquanto os bytes sao HMAC. Para o digest hex HMAC de uma mensagem mais um segredo, use o modo HMAC do Hash Generator.

Meu token ou segredo e enviado a um servidor?

Nao. Decode e Encode rodam inteiramente no seu navegador. Nada do que voce cola e enviado, registrado ou armazenado.

Por que aparece um erro?

Um JWT valido tem exatamente tres partes. O cabecalho e o payload precisam ser JSON em Base64URL. Pontos a mais, partes faltando ou codificacao corrompida geram um erro claro. Encode tambem recusa JSON invalido e um segredo vazio.

Posso confiar em claims como exp, sub ou role nesta ferramenta?

Nao por si so. Qualquer pessoa pode criar um token com qualquer claim. Use Decode para depurar tokens que voce ja tem e verifique as assinaturas no backend.

Base64URL e Base64 com + e / trocados por - e _, e muitas vezes sem padding. O cabecalho e o payload do JWT usam essa codificacao para o token ser seguro em URLs.

Como converter os timestamps Unix de exp/iat de um JWT em uma data legivel?

No payload de um JWT, iat e a hora de emissao e exp e a hora de expiracao (ambos sao Unix timestamps). Esta pagina ja mostra relogio UTC e local para essas claims. Voce tambem pode copiar os numeros no Unix Timestamp Converter: https://www.toolsminify.com/converter-tools/timestamp-converter.

Ferramentas para desenvolvedores

Decodificador JWT

Cole um JSON Web Token para inspecionar o cabecalho, o payload e a assinatura.

Modo

Somente HS256

JSON Web Token

Somente decodifica - esta vista não verifica a assinatura. Não confie nas claims até um servidor verificar o token.

Sobre o Decodificador JWT

Cole um JSON Web Token para inspecionar o cabecalho, o payload e a assinatura. Este decodificador JWT gratis parte o token nos pontos, decodifica as duas primeiras partes em Base64URL e mostra o JSON formatado. Decode nao verifica a assinatura - trate as claims como nao confiaveis ate um servidor confiri-las. A aba Encode assina um token HS256 compacto no navegador com Web Crypto; o segredo nao sai da pagina. RSA nao e oferecido. Tudo roda no cliente.

Como usar o Decodificador JWT

Decode e a aba padrao. Cole um JWT. Um prefixo Bearer e opcional e e removido automaticamente.
O cabecalho e o payload aparecem como JSON formatado. Claims de tempo (iat, exp, nbf) mostram segundos Unix mais relogio UTC e local. A assinatura e o terceiro segmento em bruto.
Mude para Encode para assinar um token de teste. O JSON do cabecalho vem com alg HS256. Edite o payload, opcionalmente toque um chip NumericDate para iat ou exp, informe um segredo e assine.
Copie o token ou envie para Decode para inspecionar o JSON compacto que foi assinado. Se o input estiver malformado, um erro curto explica se o problema e a estrutura, a codificacao ou o JSON.

Exemplos de Decodificador JWT

JWT padrao de tres partes

header.payload.signature decodifica para um cabecalho JSON (alg, typ), um payload JSON (claims como sub, iat, exp) e uma assinatura Base64URL.

Cabecalho Authorization

Cole Bearer eyJ... - a ferramenta remove o prefixo Bearer e decodifica o token.

JWT sem protecao (alg none)

Um token com o terceiro segmento vazio ainda decodifica. O campo de assinatura fica em branco - Decode continua sem verificar nada.

Token de teste HS256

Em Encode, mantenha o cabecalho HS256, defina claims, informe um segredo so de desenvolvimento e assine. A saida e um JWT de tres partes para o Postman ou para Decode.

O que tem dentro de um JWT

Ler o guia completo

Como usar o Decodificador JWT: guia completo (2026) - 5 min de leitura

Perguntas frequentes sobre o Decodificador JWT

O que e um JWT?: Um JSON Web Token tem tres partes codificadas em Base64URL e separadas por pontos: um cabecalho, um payload de claims e uma assinatura. APIs usam JWTs como tokens bearer. Decode le as partes. Encode monta um token assinado com HS256 para testes.
Este decodificador verifica a assinatura?: Nao. A aba Decode nunca verifica. A verificacao precisa do segredo ou da chave publica e deve acontecer em um servidor confiavel. Decodificar so mostra o que o token afirma, e qualquer pessoa pode forjar isso.
Posso codificar ou assinar um JWT aqui?: Sim, na aba Encode desta mesma pagina - nao existe uma URL jwt-encoder separada. Ela assina JSON compacto com HMAC-SHA256 (HS256) no navegador. Use um segredo de teste, nunca uma chave de producao.
Por que so HS256 e nao RS256?: HS256 e HMAC com um segredo compartilhado e roda na API Web Crypto sem enviar uma chave privada. RSA e ECDSA precisam de pares de chaves e pertencem a um servidor. Esta pagina fixa alg em HS256 para o cabecalho nao dizer RS256 enquanto os bytes sao HMAC. Para o digest hex HMAC de uma mensagem mais um segredo, use o modo HMAC do Hash Generator.
Meu token ou segredo e enviado a um servidor?: Nao. Decode e Encode rodam inteiramente no seu navegador. Nada do que voce cola e enviado, registrado ou armazenado.
Por que aparece um erro?: Um JWT valido tem exatamente tres partes. O cabecalho e o payload precisam ser JSON em Base64URL. Pontos a mais, partes faltando ou codificacao corrompida geram um erro claro. Encode tambem recusa JSON invalido e um segredo vazio.
Posso confiar em claims como exp, sub ou role nesta ferramenta?: Nao por si so. Qualquer pessoa pode criar um token com qualquer claim. Use Decode para depurar tokens que voce ja tem e verifique as assinaturas no backend.
O que e Base64URL?: Base64URL e Base64 com + e / trocados por - e _, e muitas vezes sem padding. O cabecalho e o payload do JWT usam essa codificacao para o token ser seguro em URLs.
Como converter os timestamps Unix de exp/iat de um JWT em uma data legivel?: No payload de um JWT, iat e a hora de emissao e exp e a hora de expiracao (ambos sao Unix timestamps). Esta pagina ja mostra relogio UTC e local para essas claims. Voce tambem pode copiar os numeros no Unix Timestamp Converter: https://www.toolsminify.com/converter-tools/timestamp-converter.

Gerador de hash

Gere hashes SHA-256, SHA-1, SHA-384 e SHA-512 de qualquer texto. HMAC fica na mesma pagina. Obtenha o digest hexadecimal em minúsculas na hora, no navegador - sem upload.

Conversor de Unix Timestamp

Converta Unix timestamps (segundos ou milissegundos) em ISO 8601, UTC e na sua data/hora local. Converta datas locais de volta para Unix segundos e milissegundos. Funciona no seu navegador.

Codificador / decodificador Base64

Codificador e decodificador Base64 online grátis. Codifique texto em Base64 ou decodifique Base64 para texto puro, com suporte total a Unicode (UTF-8).