Decodificador de JWT

Um JWT são três segmentos codificados em Base64URL separados por pontos: Header.Payload.Signature. O Header descreve o tipo do token e o algoritmo de assinatura (ex.: HS256, RS256). O Payload carrega claims — id do usuário, papéis, expiração (exp), issued-at (iat) e quaisquer campos custom que sua API coloque ali. A Signature é um selo criptográfico sobre as duas primeiras partes; este decodificador mostra a string bruta da assinatura, mas não a verifica, porque a verificação exige o secret ou a chave pública.

Decodificar só faz Base64URL-decode do header e do payload para você ler as claims — qualquer um pode fazer isso sem chave, porque JWTs são assinados, não criptografados. Verificar confere se a assinatura bate usando o secret ou a chave pública do emissor, o que prova que o token não foi adulterado e veio de uma parte confiável. Esta ferramenta é um decodificador para debug; ela nunca afirmará que um token é autêntico a menos que você verifique a assinatura separadamente no seu próprio backend.

Essas claims são armazenadas como tempo Unix em segundos desde 1970-01-01 UTC. Esta ferramenta detecta chaves comuns de timestamp (exp, iat, nbf, auth_time) e mostra a data/hora local equivalente ao lado de cada valor. Para exp especificamente, também marca o token como Expired ou Active com base no relógio atual do navegador — útil para detectar clock-skew ou tokens de staging velhos de relance.

JWTs de produção e staging frequentemente contêm ids de usuário, endereços de e-mail, papéis ou outros PII no payload — e às vezes as pessoas colam tokens que também aparecem em headers Authorization junto com secrets. Um debugger server-side recebe essa string inteira. Esta ferramenta nunca faz upload de nada: Base64URL decoding, parse JSON e formatação de timestamp rodam no seu navegador, então tokens sensíveis ficam na sua máquina.