Decodificador de JWT (header, payload, assinatura, expiração)

Como é um JWT

Um JWT é composto por três segmentos codificados em Base64url separados por pontos: header.payload.signature. Cada segmento é um objeto JSON codificado para transmissão segura em URLs. O header declara o algoritmo de assinatura, o payload carrega os claims (assunto, expiração, dados personalizados) e a assinatura permite ao destinatário verificar a integridade se tiver a chave.

Este decodificador lê apenas os dois primeiros segmentos. A assinatura é o terceiro segmento, mas verificá-la exige a chave secreta/pública — essa é uma operação separada que não realizamos aqui.

Claims padrão que vale conhecer

iss (issuer): quem criou o token. iat (issued at): quando foi criado, como timestamp Unix. exp (expiry): quando deixa de ser válido, também Unix. nbf (not before): o momento mais cedo em que deve ser aceito. sub (subject): a entidade que representa, geralmente um ID de usuário. aud (audience): para quem o token é destinado, geralmente uma URL de serviço.

Nem todos são obrigatórios; JWTs mínimos frequentemente têm apenas sub + iat + exp. Claims personalizados são qualquer outro dado — eles convivem com os padrões no payload.

Por que decodificar ≠ verificar

Qualquer pessoa pode decodificar um JWT — o header e o payload são apenas JSON codificado em Base64. Por isso dizemos 'nunca coloque segredos no payload': eles são efetivamente públicos.

Verificação significa checar a assinatura contra a chave secreta (HMAC) ou chave pública (RSA/ECDSA). Sem verificação, não se pode confiar em nenhum claim dentro do payload — um atacante pode criar qualquer payload que quiser.

Use esta ferramenta para inspecionar tokens durante a depuração. Use uma biblioteca JWT no seu servidor para verificá-los em produção.