Descodificador JWT

Como usar

Cole um token com dois ou três segmentos separados por pontos. Descodificar mostra o cabeçalho JSON, a carga útil JSON e o segmento de assinatura em bruto. A linha de estado indica que a assinatura não foi verificada.

Exemplo

O token de exemplo decodifica para um cabeçalho e um payload. signature_verified permanece false.

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzQyIiwibmFtZSI6IkFkYSBMb3ZlbGFjZSIsInJvbGUiOiJlZGl0b3IifQ.not-a-verified-signature

{
  "header": {
    "alg": "HS256",
    "typ": "JWT"
  },
  "payload": {
    "sub": "user_42",
    "name": "Ada Lovelace",
    "role": "editor"
  },
  "signature": "not-a-verified-signature",
  "signature_verified": false
}

Como funciona

Cada segmento é Base64URL. O primeiro deve ser um objeto JSON. O segundo deve ser JSON. O terceiro segmento é exibido e não é verificado contra um segredo ou chave pública. Um alg none é destacado como não autenticado.

Erros comuns

• O cabeçalho não é um objeto O primeiro segmento foi decodificado, mas não era um objeto JSON.
• Não há dois ou três segmentos Um JWT compacto usa pontos como separadores. Pontos extras costumam significar que o token foi truncado ou colado duas vezes.
• Você esperava Valid Esta página não diz que um token é válido. Verificar uma assinatura precisa de uma chave e é outra operação.

Limitações

Claims de expiração, emissor e audiência são exibidas quando presentes. Não são tratadas como aprovação ou falha. O decodificador não armazena o token.

Privacidade

O token é decodificado localmente. Não cole um token de acesso ativo se o dispositivo for compartilhado. O PepsTools não envia o token a um servidor.

Perguntas

Posso usar o resultado para autorizar uma requisição?

Não. Autorização exige assinatura verificada e checagens de claims. Esta ferramenta só decodifica.