Decodificador JWT

O que é um JWT (JSON Web Token)?

Um JSON Web Token (JWT) é um formato de token compacto e seguro para URLs, definido na RFC 7519. Ele codifica um conjunto de claims como um objeto JSON, depois o assina — e opcionalmente o criptografa — para que o destinatário possa verificar que os dados não foram adulterados. JWTs são o padrão de fato para autenticação sem estado em REST APIs, sistemas de single sign-on e autorização de microsserviços.

Anatomia do JWT: Cabeçalho · Payload · Assinatura

Todo JWT é composto por três segmentos codificados em base64url separados por pontos. O cabeçalho e o payload são JSON simples — legíveis por qualquer pessoa — enquanto a assinatura é um valor criptográfico que só pode ser verificado com a chave correta.

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub":  "user123",
  "name": "Alice",
  "role": "admin",
  "iat":  1717200000,
  "exp":  1717203600
}

Por que usar um decodificador de JWT?

JWTs brutos parecem texto aleatório. Esta ferramenta renderiza instantaneamente o cabeçalho e o payload como JSON formatado para que você possa inspecionar claims, verificar tempos de expiração e auditar escolhas de algoritmos sem escrever uma única linha de código.

Referência de claims padrão do JWT

A RFC 7519 define sete nomes de claims registrados. Eles não são obrigatórios, mas seu uso é fortemente recomendado para interoperabilidade. Você pode adicionar qualquer claim personalizado ao payload.

Algoritmos de assinatura JWT

O claim de cabeçalho alg declara qual algoritmo assinou o token. A escolha afeta a segurança, o desempenho e se serviços de terceiros podem verificar tokens sem a chave privada.

Considerações de segurança

Decodificar um JWT é sempre seguro. Confiar em um JWT sem verificação adequada da assinatura não é. Tenha estas regras em mente sempre que consumir tokens na sua aplicação.

Casos de uso comuns

Decodificando JWT em código

O cabeçalho e o payload são codificados em base64url — basta reverter a codificação. Base64url substitui + por - e / por _, e omite o preenchimento =. Apenas a assinatura requer a chave secreta.

function decodeJWT(token) {
  const [, payload] = token.split('.')
  const json = atob(payload.replace(/-/g, '+').replace(/_/g, '/'))
  return JSON.parse(json)
}

const [, payload] = token.split('.')
const decoded = JSON.parse(
  Buffer.from(payload, 'base64url').toString()
)

import base64, json

def decode_jwt(token):
    payload = token.split('.')[1]
    padding = '=' * (-len(payload) % 4)
    return json.loads(base64.urlsafe_b64decode(payload + padding))

TOKEN="eyJhbGc..."
echo $TOKEN | cut -d. -f2 | base64 -d 2>/dev/null | jq .

Perguntas frequentes