What a JWT decoder shows

A JWT has three Base64url sections joined by dots: header, payload, and signature. A decoder reads the header and payload as JSON so you can inspect claims like sub, exp, and iat. The signature is not human-readable.

Does this verify the JWT signature?

No. Decoding a JWT shows what the token claims, but it does not prove the token is authentic. Always verify the signature against your secret or public key on the server before trusting any claim, and never store secrets in a JWT payload.

Decodificador JWT online — Ler claims

token.jwt

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkFkYSBMb3ZlbGFjZSIsImlhdCI6MTUxNjIzOTAyMn0.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

decoded.json

Cole um JWT para descodificar o header e payload. A descodificação não verifica a assinatura.

Relacionado

Guias para JWT Decode

Todos os guias →

Guia

Privacidade: ferramentas JSON que não saem do seu navegador

Ferramentas de JSON, JWT e Base64 que processam cada byte localmente na aba do seu navegador — sem endpoint de envio, sem logs do lado do servidor das cargas coladas.

Guia

Como decodificar strings Base64 (e payloads JWT)

Base64 é uma codificação reversível, não criptografia. Decodifique em um passo, trate Unicode corretamente e leia as seções de JWT que usam Base64url.

Guia

Valide o JSON antes das requisições de API

Uma validação rápida antes de enviar uma requisição de API ajuda a separar problemas de sintaxe JSON de erros de autenticação, schema e backend.

Decodificar um JSON Web Token (JWT)

Um JWT é composto por três segmentos codificados em Base64url e separados por pontos : header.payload.signature. Cole o token e clique em Decode para ler o header e o payload como JSON. Todo o processamento ocorre no seu navegador —— o token não vai para nenhum servidor, o que é importante porque JWTs costumam carregar claims de identidade e sessão.

Não importa se você pesquisa decode jsonwebtoken (uma palavra), jwt decode ou * json web token decoder* : a ferramenta segue o mesmo procedimento : divide pelos pontos, decodifica os dois primeiros segmentos em Base64url e mostra o resultado como JSON.

Decodificar não é verificar

Qualquer pessoa pode decodificar um JWT —— não é necessário nenhum segredo, porque o payload é apenas codificado, não criptografado. A decodificação apenas mostra o que o token afirma ; não prova que é autêntico. Verifique sempre a assinatura no servidor usando sua chave secreta ou pública antes de confiar em qualquer claim, e nunca coloque senhas ou segredos no payload de um JWT.

Claims comuns

iss emissor · sub sujeito · aud audiência
exp expiração · iat emitido em · nbf não antes de (timestamps Unix)

Para mais detalhes, veja Como decodificar um JWT e Por que Base64 não é criptografia. Para inspecionar segmentos manualmente, use o decodificador Base64.

FAQ

Esta ferramenta verifica a assinatura do JWT?

Não. A decodificação apenas mostra o que o token afirma ; não prova autenticidade. Verifique sempre a assinatura no servidor usando sua chave secreta ou pública antes de confiar em qualquer claim, e nunca armazene informações sensíveis no payload de um JWT.