Descodificador JWT — verificar assinatura e expiração

O que faz o Descodificador JWT

O Descodificador JWT divide um JSON Web Token nos seus três segmentos separados por pontos, descodifica em base64url o cabeçalho e o payload e apresenta esses objetos JSON formatados. É útil na depuração de fluxos de início de sessão, cabeçalhos de autorização de APIs, callbacks OAuth, comportamento de renovação e testes que dependem de claims como sujeito, emissor, audiência, hora de emissão e hora de expiração. Cada claim é listada numa tabela com o seu significado padrão, e as claims de tempo são convertidas por si.

A ferramenta também pode verificar a assinatura. Os tokens HMAC (HS256, HS384, HS512) precisam do segredo partilhado, que pode colar como texto simples ou Base64. Os tokens assimétricos (RS256, PS256, ES256, as suas variantes de 384/512 e EdDSA) precisam da chave pública do emissor como bloco PEM PUBLIC KEY ou como uma única JWK obtida do endpoint JWKS do fornecedor. Um resultado verde significa que o token foi assinado com essa chave e não foi modificado; um resultado vermelho significa que a chave está errada ou que o token foi adulterado. Os tokens que usam alg: none são assinalados como não assinados.

Fluxo de trabalho privado no navegador

Todo o processamento acontece com JavaScript no navegador e com a Web Crypto API. A ferramenta não envia a um servidor os seus tokens, segredos, chaves, URLs ou valores gerados e não exige conta. Este modelo de privacidade é importante porque os pequenos utilitários recebem muitas vezes respostas reais de API, exemplos de configuração, registos, dados de autenticação ou exemplos com o formato de dados de clientes durante a resolução de problemas. Manter o trabalho local reduz o risco e faz a ferramenta parecer instantânea, porque não há comunicação de rede.

Ler o resultado descodificado

As claims padrão que verá com frequência são iss (emissor), sub (sujeito), aud (audiência), exp (expiração), nbf (não antes de) e iat (emitido em). As claims de tempo são timestamps Unix em segundos; a tabela de claims mostra cada uma como uma data UTC ISO 8601 mais um tempo relativo como "em 2 horas" ou "há 3 dias", e a linha de estado indica-lhe de relance se o token é válido, está expirado ou ainda não é válido.

O descodificador espera exatamente três segmentos separados por pontos; qualquer outra coisa produz um erro de descodificação. Os tokens cifrados (JWE) têm cinco segmentos e não podem ser lidos sem a chave, e um segmento que não seja JSON base64url válido também falhará. Uma assinatura válida prova quem emitiu o token, mas a sua aplicação continua a ter de verificar o emissor, a audiência e a expiração. Trate os tokens ativos como palavras-passe: embora aqui nada saia do seu navegador, evite colar tokens de produção em ferramentas em que não confia ou partilhar publicamente o resultado descodificado.