Como funciona
Um JSON Web Token tem três partes Base64URL separadas por pontos: o cabeçalho, o payload e a assinatura. Decodificar só lê as duas primeiras, então funciona off-line e nunca prova quem emitiu o token. Só a verificação da assinatura com a chave do emissor prova autenticidade, e um token expirado deve ser rejeitado mesmo com assinatura válida.
header.payload.signature → JSON + datas + verificação de assinatura
Qual chave usar
- HS256 / HS384 / HS512: cole o texto do segredo compartilhado. Quem o tiver pode assinar e verificar.
- RS256–RS512 / PS256–PS512: cole a chave pública como PEM (SPKI) ou JWK. A chave privada fica com o emissor.
- ES256 / ES384 / ES512: cole a chave pública EC como PEM ou JWK; a assinatura bruta R‖S dentro do token é convertida automaticamente.
- EdDSA: cole a chave pública de 32 bytes como Base64URL ou hex.
- none: sem assinatura. Tokens assim nunca devem ser confiáveis.
Dicas
- exp, iat e nbf aparecem como datas, indicando se cada um já passou.
- Colar aqui um token de acesso real é seguro do ponto de vista da rede, mas quem tiver o token pode usá-lo — prefira tokens curtos de teste.
- Tudo roda no seu navegador; nada é enviado.
Padrões e fontes
- JSON Web Token (JWT): RFC 7519; assinaturas JWS: RFC 7515
- Algoritmos (HS/RS/PS/ES): RFC 7518; EdDSA: RFC 8032
- Base64URL: RFC 4648
Última revisão 12 de outubro de 2026
Perguntas frequentes
O que a decodificação prova?
Nada sobre autenticidade. Decodificar só lê o cabeçalho e o payload, que qualquer um pode forjar. Só a verificação da assinatura com a chave do emissor prova que o token é genuíno.
Quais algoritmos podem ser verificados?
HMAC (HS256/384/512) com o segredo compartilhado, RSA (RS/PS) e ECDSA (ES256/384/512) com chave pública PEM ou JWK, e EdDSA (Ed25519) com a chave pública bruta. Tokens com alg none não têm assinatura e nunca devem ser confiáveis.
Por que o servidor rejeita meu token válido?
As causas mais comuns são um claim exp expirado, audiência ou emissor errado, ou relógio dessincronizado entre assinante e servidor. Esta página mostra cada claim de data para você ver qual falha.
É seguro colar um token real aqui?
A página funciona toda off-line e não envia nada para lugar nenhum, mas quem tiver o token pode usá-lo até expirar. Prefira tokens de teste de curta duração a tokens de acesso de produção.