Decodificador de JWT
Cole um JWT: o header e o payload são decodificados e exibidos formatados, com as datas de emissão e de expiração legíveis e um aviso se o token expirou.
O que há dentro de um JWT
Um JSON Web Token tem três partes separadas por pontos: o header (o algoritmo
de assinatura, como HS256 ou RS256), o payload (os “claims”: quem você é,
quando o token foi emitido, quando expira) e a signature. As duas primeiras
partes são apenas Base64URL, não são criptografadas. Qualquer pessoa que receba o token pode lê-las, e isso
é exatamente o que esta ferramenta faz. Os claims de tempo iat (emitido em),
exp (expira em) e nbf (não válido antes de) são timestamps Unix em
segundos: aqui eles são convertidos em datas legíveis no seu fuso horário local.
Atenção: esta ferramenta não verifica a assinatura
Decodificar não é o mesmo que validar: verificar a assinatura exigiria a chave secreta ou a chave pública de quem emite o token, que esta ferramenta não tem e nunca pede. Um token que decodifica sem problemas ainda pode ser falsificado ou adulterado: a verificação da assinatura sempre cabe ao servidor. Mais uma dica importante: não cole tokens sensíveis de produção (sessões ativas, chaves de API). Mesmo que nada daqui saia do seu navegador, um token válido colado por aí é como uma senha escrita em um post-it. Use tokens de teste ou que já tenham expirado.