Decodificador JWT
Decodifique um token JWT sem a chave secreta — veja o cabeçalho e o conteúdo (payload).
Um JWT tem três partes em base64url: cabeçalho, conteúdo e assinatura. As duas primeiras são apenas JSON codificado — legíveis por qualquer pessoa.
⚠️ Somente decodificação — a assinatura NÃO é verificada. Nunca cole segredos de produção em nenhum site.
Respostas rápidas
O que o token de exemplo mais famoso decodifica?
O token eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ… tem cabeçalho {"alg":"HS256","typ":"JWT"} e conteúdo {"sub":"1234567890","name":"John Doe","iat":1516239022}.
O iat 1516239022 corresponde a 18/01/2018, 01:30:22 UTC; a ferramenta mostra essa data no seu horário local, no formato dd/mm/aaaa HH:MM:SS. Cole o token completo (com a assinatura .SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c) e confira.
O que significam exp e iat?
exp é a expiração e iat é a emissão do token, ambos em segundos Unix. Um exp 1767225600, por exemplo, é 01/01/2026, 00:00:00 UTC.
Se o exp já passou, o token está expirado — o correto é pedir a renovação (refresh), não depurar a tela de login.
Dá para decodificar um JWT sem a chave secreta?
Sim. Cabeçalho e conteúdo são JSON codificado em Base64URL, não criptografados: quem tem o token consegue lê-los sem chave nenhuma.
A chave só é necessária para verificar a assinatura — decodificar diz o que o token afirma; verificar diz se dá para confiar nele. Nunca coloque senhas ou segredos dentro de um JWT.
Como usar
- Cole o JWT completo (cabecalho.conteudo.assinatura).
- Cabeçalho e conteúdo são decodificados ao vivo, enquanto você digita.
- Quando presentes, as datas de emissão (iat) e de expiração (exp) aparecem no formato dd/mm/aaaa HH:MM:SS, no seu horário local.
Sobre esta ferramenta
Esta ferramenta decodifica essas partes para você inspecionar campos como expiração, emissor e permissões ao depurar autenticação. Para decodificar um token JWT sem a chave secreta, basta colar o token completo acima: cabeçalho e conteúdo aparecem ao vivo, porque as duas partes são apenas JSON codificado em Base64URL, não criptografado. Leia os campos — sub, iss, exp, iat e os campos personalizados.
A decodificação é local; e atenção: a assinatura NÃO é verificada aqui — isto é um inspetor, não um validador. A chave secreta (ou a chave pública de quem assinou) só é necessária para verificar a assinatura, o que esta ferramenta deliberadamente não faz.
Perguntas frequentes
É seguro colar um token aqui?
A decodificação acontece inteiramente no seu navegador, mas, como regra, evite colar segredos de produção ativos em qualquer site.
A ferramenta verifica a assinatura?
Não — é só decodificação. A verificação exige a chave secreta e pertence ao seu servidor (backend).
O que significam «exp» e «iat»?
Expiração e emissão do token, em segundos Unix. Aqui elas são exibidas como data e hora no formato dd/mm/aaaa HH:MM:SS, no seu horário local.
Posso decodificar um JWT sem a chave secreta?
Pode. Cabeçalho e conteúdo são codificados em Base64URL, não criptografados, então qualquer pessoa com o token consegue decodificá-los sem segredo algum. O segredo só é necessário para verificar a assinatura — decodificar mostra o que o token diz; verificar mostra se ele é confiável.
Como decodifico um token JWT online?
Cole o texto completo cabecalho.conteudo.assinatura na caixa acima. Cabeçalho e conteúdo são decodificados ao vivo, e, se o conteúdo trouxer exp ou iat, as datas aparecem logo abaixo.
Mais ferramentas em português
Gerador de hash SHA-256
Gere hashes SHA-256 / SHA-512 na hora.
Formatador e validador JSON
Formate, compacte e valide JSON em um clique.
Conversor de JSON para CSV
Transforme uma lista JSON em CSV na hora — com separador ponto e vírgula, o padrão do Excel no Brasil.
Conversor de cores (HEX ↔ RGB)
Converta HEX para RGB e RGB para HEX, com prévia da cor ao vivo.
Gerador de expressões cron
Monte agendamentos cron visualmente ou cole qualquer expressão para decodificá-la — significado em português claro e os próximos 5 horários de execução.
JWT Decoder
Decode a JWT token without the secret — see its header and payload.