Decodificador JWT

Bem-vindo ao Decodificador JWT, uma ferramenta online poderosa para desenvolvedores decodificarem e inspecionarem JSON Web Tokens (JWTs) instantaneamente. Esteja você depurando problemas de autenticação, verificando claims de token ou aprendendo sobre a estrutura JWT, esta ferramenta oferece uma visualização clara e codificada por cores de todos os componentes do token sem enviar dados para servidores externos.

O que é um JSON Web Token (JWT)?

Um JSON Web Token (JWT, pronuncia-se "jot") é um padrão aberto (RFC 7519) que define um método compacto e independente para transmitir informações de forma segura entre as partes como um objeto JSON. Os JWTs são amplamente utilizados para:

• Autenticação: Depois que um usuário faz login, cada solicitação subsequente inclui um JWT, permitindo o acesso a rotas, serviços e recursos permitidos com esse token.
• Troca de Informações: Os JWTs podem transmitir informações de forma segura entre as partes porque podem ser assinados usando chaves secretas (HMAC) ou pares de chaves pública/privada (RSA, ECDSA).
• Autorização: Os servidores podem verificar as claims do token para determinar as permissões do usuário sem consultar um banco de dados em cada solicitação.

Estrutura do JWT Explicada

Um JWT consiste em três partes separadas por pontos (.):

1. Cabeçalho (Vermelho)

O cabeçalho (Header) normalmente contém duas informações:

• alg: O algoritmo de assinatura usado (ex: HS256, RS256, ES256)
• typ: O tipo de token, que é sempre "JWT"

2. Payload (Roxo)

O payload contém as claims - declarações sobre o usuário e metadados adicionais. Existem três tipos de claims:

• Claims registradas: Claims predefinidas como iss (emissor), exp (expiração), sub (assunto), aud (audiência)
• Claims públicas: Claims personalizadas registradas no IANA JSON Web Token Registry ou definidas como URIs
• Claims privadas: Claims personalizadas acordadas entre as partes (ex: user_id, role)

3. Assinatura (Azul)

A assinatura (Signature) é criada combinando o cabeçalho codificado, o payload codificado, uma chave secreta e o algoritmo especificado no cabeçalho. Ela garante que o token não foi adulterado.

Referência de Claims JWT Comuns

Algoritmos de Assinatura JWT

Algoritmos Simétricos (HMAC)

• HS256: HMAC usando SHA-256 - Mesma chave secreta para assinatura e verificação
• HS384: HMAC usando SHA-384
• HS512: HMAC usando SHA-512

Algoritmos Assimétricos (RSA/ECDSA)

• RS256: Assinatura RSA com SHA-256 - A chave privada assina, a chave pública verifica
• RS384: Assinatura RSA com SHA-384
• RS512: Assinatura RSA com SHA-512
• ES256: ECDSA usando curva P-256 e SHA-256
• ES384: ECDSA usando curva P-384 e SHA-384
• ES512: ECDSA usando curva P-521 e SHA-512

Considerações de Segurança

Decodificar vs Verificar

Importante: Esta ferramenta decodifica JWTs, mas não os verifica. A decodificação simplesmente revela o conteúdo codificado em Base64URL, enquanto a verificação requer a chave secreta para validar a assinatura. Nunca confie em dados decodificados sem a verificação de assinatura no lado do servidor.

Melhores Práticas

• Sempre verifique as assinaturas no lado do servidor antes de confiar em qualquer claim
• Use tempos de expiração curtos (exp) - normalmente de 15 minutos a 1 hora para tokens de acesso
• Não armazene dados sensíveis no payload - ele é apenas codificado, não criptografado
• Use HTTPS para evitar a interceptação do token durante a transmissão
• Valide a claim de audiência (aud) para evitar o uso indevido do token
• Use algoritmos assimétricos (RS256, ES256) para sistemas distribuídos onde vários serviços precisam verificar tokens

Privacidade & Segurança

Este Decodificador JWT opera inteiramente no seu navegador:

• Sem transmissão para o servidor: Seu JWT nunca é enviado para nenhum servidor
• Processamento no lado do cliente: Toda a decodificação acontece via JavaScript no seu navegador
• Sem armazenamento de dados: Não armazenamos, registramos ou rastreamos seus tokens
• Lógica de código aberto: Você pode inspecionar a lógica de decodificação nas ferramentas de desenvolvedor do seu navegador

Perguntas Frequentes

O que é um JWT (JSON Web Token)?

Um JSON Web Token (JWT) é um padrão aberto (RFC 7519) para transmitir informações de forma segura entre as partes como um objeto JSON. Os JWTs são comumente usados para autenticação e autorização em aplicações web. Um JWT consiste em três partes: Cabeçalho (algoritmo e tipo de token), Payload (claims/dados) e Assinatura (verificação).

É seguro decodificar JWTs no navegador?

Sim, decodificar um JWT no navegador é seguro porque o cabeçalho e o payload são simplesmente codificados em Base64URL, não criptografados. No entanto, lembre-se de que a decodificação NÃO verifica a assinatura do token. Nunca confie em dados decodificados sem a verificação adequada da assinatura no lado do servidor. Esta ferramenta decodifica tokens inteiramente no seu navegador - nenhum dado é enviado para qualquer servidor.

O que significam as diferentes partes de um JWT?

Um JWT tem três partes separadas por pontos: 1) Cabeçalho - Contém o algoritmo (alg) e o tipo de token (typ), normalmente HS256 ou RS256 para assinatura. 2) Payload - Contém claims, que são declarações sobre o usuário e dados adicionais como tempo de expiração (exp), data de emissão (iat), assunto (sub), etc. 3) Assinatura - Criada ao assinar o cabeçalho e o payload com uma chave secreta, usada para verificar se o token não foi adulterado.

Por que não posso verificar a assinatura com esta ferramenta?

A verificação de assinatura requer a chave secreta (para algoritmos simétricos como HS256) ou a chave pública (para algoritmos assimétricos como RS256). Como esta ferramenta funciona inteiramente no seu navegador para garantir a privacidade, ela não pode acessar as chaves secretas do seu servidor. Para verificar assinaturas, use bibliotecas do lado do servidor como jsonwebtoken (Node.js), PyJWT (Python) ou jwt-go (Go).

Quais são as claims JWT comuns?

As claims registradas comuns incluem: iss (emissor), sub (assunto), aud (audiência), exp (tempo de expiração), nbf (não antes de), iat (emitido em) e jti (ID do JWT). Claims personalizadas podem incluir user_id, email, funções (roles), permissões ou qualquer dado específico da aplicação. Claims baseadas em tempo (exp, nbf, iat) são timestamps Unix.

Recursos Adicionais

• JWT.io - Introdução Oficial ao JWT
• RFC 7519 - Especificação do JSON Web Token
• Auth0 - Documentação sobre JSON Web Tokens