Como usar
- Cole o token (pode incluir “Bearer ”). As três partes aparecem em cores diferentes.
- Veja o cabeçalho e o payload formatados e a tabela com as datas de emissão e expiração convertidas para o seu horário.
- Para conferir a assinatura, abra Verificar a assinatura e informe o segredo (HS256) ou a chave pública (RS256/ES256).
O que é um JWT
JSON Web Token (RFC 7519) é um formato de token usado em login e APIs. Tem três partes em Base64URL separadas por ponto: cabeçalho (algoritmo), payload (dados, chamados de “claims”) e assinatura.
Importante: o payload não é criptografado — qualquer um consegue ler. Por isso, nunca coloque senhas ou dados sensíveis num JWT. A assinatura só garante que ninguém alterou o conteúdo.
Campos comuns
exp— expiração;iat— emissão;nbf— não válido antes de. São números de segundos desde 1970 (Unix time), convertidos aqui para data e hora.sub— usuário;iss— quem emitiu;aud— para quem o token foi emitido.
Verificação
Suporta HS256/384/512 (segredo compartilhado), RS256/384/512 e PS256 (RSA) e ES256/384 (curva elíptica), com chave pública em PEM ou JWK. A verificação usa a Web Crypto API do navegador. Tokens com alg: none não têm assinatura e não devem ser aceitos por nenhum sistema.
Para decodificar outros textos em Base64, use o codificador Base64.
Perguntas frequentes
É seguro colar meu token aqui?
O token não sai do seu navegador. Ainda assim, tokens válidos dão acesso à sua conta: prefira testar com tokens de desenvolvimento ou já expirados.
Por que aparece “expirado” se o sistema aceita?
Alguns servidores toleram alguns minutos de diferença de relógio (clock skew). Conferimos a expiração com o relógio do seu aparelho.
Consigo ler um JWE (5 partes)?
Não. O JWE é criptografado e só pode ser lido com a chave privada de quem o recebe.