Decodifique qualquer JWT, verifique a assinatura e assine novos tokens, tudo no seu navegador
Funciona no seu navegador. Nada do que você digita é enviado a lugar nenhum.Um JWT carrega seus claims à vista, então qualquer pessoa com o token pode lê-los, porque Base64 é codificação e não criptografia. Esta ferramenta decodifica as 3 partes, mostra a expiração e verifica ou assina um token com HS256, RS256 ou ES256. O token nunca sai do seu navegador.
Esta página foi traduzida automaticamente do original em inglês. Nenhuma pessoa revisou ainda a tradução; a versão em inglês é a que deve ser considerada. Ler o original em inglês
Na aba "Decodificar e verificar", cole o token na caixa Token codificado.
Leia os painéis Cabeçalho, Payload e Claims explicados que aparecem ao lado.
Digite o segredo, ou a chave pública em PEM ou JWK, no campo da chave e clique em Verificar.
Leia o resultado: "Assinatura verificada" ou "Assinatura inválida".
Para criar um token de teste, abra "Codificar e assinar", escolha o Algoritmo e a expiração, adicione uma chave e clique em Assinar token.
Este decodificador de JWT lê qualquer JSON Web Token e mostra o cabeçalho, o payload e a assinatura como três partes com cores correspondentes. Cada claim padrão ganha uma linha em linguagem simples, a expiração vira uma data real com um selo de "válido" ou "expirado", e você pode verificar a assinatura com HS256, HS384, HS512, RS256 ou ES256.
As pessoas recorrem a ele quando um login falha de repente e é preciso saber se o token expirou ou foi emitido para outro público. Também é o jeito mais rápido de ver o que uma API de terceiros realmente coloca nos tokens de acesso antes de escrever código que dependa de um claim. A aba de codificação cobre o caminho inverso: quando você está montando um fluxo de autenticação e precisa de um token com um sujeito, um escopo e uma expiração específicos para testar seu próprio serviço, pode editar o JSON, escolher um algoritmo, definir a expiração e assinar com um segredo ou um par de chaves de teste gerado.
Tudo roda no seu navegador com a API WebCrypto. Tokens, segredos e chaves nunca são enviados nem armazenados, então é seguro colar tokens reais. Assinar aqui serve para testar sistemas seus; tokens de produção devem vir do seu servidor de autenticação, com uma chave que só ele tem.
Pressione Ctrl+Enter para verificar ou assinar. A ferramenta Base64 decodifica um segmento à mão, e o Password Generator cria um segredo aleatório para HS256.
Sim. A decodificação e a verificação rodam no seu navegador com JavaScript e a API WebCrypto. O token, o segredo e qualquer chave que você digitar nunca saem da página e não são salvos, então um token de produção continua privado. Mesmo assim, trate qualquer token de longa duração colado em qualquer lugar como algo a ser trocado.
Um JWT é assinado, não criptografado. O cabeçalho e o payload são JSON simples codificado em Base64URL, então qualquer pessoa com o token pode lê-los. O segredo ou a chave só é necessário para conferir a assinatura, que prova que o token foi emitido por quem tem essa chave e não foi alterado.
Cole o token, escolha o algoritmo do cabeçalho (geralmente HS256 ou RS256), digite o segredo compartilhado para os algoritmos HS ou a chave pública PEM ou JWK para RS256 e ES256, e clique em Verificar ou pressione Ctrl+Enter. Um selo verde significa que a assinatura confere; um vermelho, que a chave está errada ou o token foi alterado.
Olhe o selo ao lado de Claims explicados. Ele mostra Válido até e uma data quando o claim exp está no futuro, Expirou há e quanto tempo caso contrário, e Não válido até quando um claim nbf ainda não chegou. Os claims exp, iat e nbf também aparecem como datas reais com tempos relativos.
Sim. Abra a aba Codificar e assinar, edite o JSON do cabeçalho e do payload, escolha HS256, HS384, HS512, RS256 ou ES256, pegue uma expiração pronta como 1 hora ou 30 dias e assine com um segredo ou uma chave privada. Gerar par de chaves de teste cria um par de chaves PEM no navegador para RS256 ou ES256.
HS256, HS384 e HS512 com um segredo compartilhado, e RS256 e ES256 com um par de chaves. Tokens com outros algoritmos ainda são decodificados e mostram seus claims; só a verificação da assinatura é limitada a esses cinco.
Ainda com dúvidas? Pergunte sobre Decodificador, verificador e codificador de JWT e qualquer pessoa que saiba pode responder. Não é preciso ter conta.