Como funciona
Divida o token em pontos. Os dois primeiros segmentos são JSON codificado em Base64URL; o terceiro são os dados de assinatura binária. Esta ferramenta decodifica o cabeçalho e a carga útil, imprime o JSON e converte iat e exp de segundos Unix em datas legíveis. Ele nunca verifica a assinatura.
- A assinatura não é verificada: é um decodificador, não um validador. Nunca cole segredos de produção em nenhuma ferramenta online, inclusive esta.
Por que isso importa
A maioria dos bugs do JWT não são criptográficos. São tokens expirados com cronogramas confusos, declarações lidas na unidade errada ou cargas confiáveis de um cliente que nunca verificou a assinatura. A leitura correta do token responde imediatamente à maioria dessas perguntas.
Um exemplo trabalhado
A carga útil de um token de acesso típico contém sub, iat e exp. A decodificação mostra as declarações como JSON e converte exp de segundos em uma data legível, o que explica imediatamente um erro "expirado".
Erros comuns
- Lendo reivindicações e ignorando totalmente a verificação de assinatura.
- Colando tokens de produção em qualquer ferramenta online.
- Confundindo carimbos de data/hora em milissegundos com exp baseado em segundos do JWT.
Dicas práticas
Depure com tokens emitidos por um locatário de desenvolvimento, nunca de produção. Lembre-se de que a revogação de um JWT geralmente requer estado do lado do servidor; expirações curtas mais tokens de atualização são a alternativa prática às listas negras.
Como usar
- Abra a ferramenta. Tudo roda na aba do seu navegador.
- Cole ou digite sua entrada e escolha a ação necessária.
- Verifique o resultado e copie-o com um clique.
Perguntas comuns
Ele verifica a assinatura?
Não. Ele apenas decodifica o token. Nunca trate as declarações decodificadas como confiáveis sem verificar a assinatura no servidor.
Por que meu token parece expirado?
Verifique a reivindicação de exp em relação ao horário atual; A distorção do clock entre as máquinas é uma causa comum de tokens rejeitados.
É seguro colar tokens de produção?
Prefira tokens de teste. A decodificação acontece localmente, mas um token ainda é uma credencial quando sai da área de transferência.
Esta ferramenta é realmente gratuita?
Sim. Não há conta, acesso pago e limite de uso. O Tools App é financiado pela aumenso, o estúdio por trás dele.
Alguma coisa que eu inseri foi carregada?
Não. A ferramenta é executada na aba do seu navegador; o que você insere nunca é enviado para nós e nunca é armazenado.