Como um JWT é montado
Um JWT é formado por três partes separadas por ponto: header.payload.assinatura. O Header e o Payload são objetos JSON codificados em Base64URL — não criptografados —, e a Assinatura é gerada a partir deles usando uma chave secreta (ou um par de chaves), garantindo que o conteúdo não foi alterado desde a emissão.
Decodificar não é o mesmo que verificar
Como Header e Payload são apenas codificados, e não criptografados, qualquer ferramenta consegue decodificá-los sem precisar de nenhuma chave — inclusive esta. Verificar a assinatura é uma operação diferente, que exige a chave usada para assinar o token, e não é feita aqui.
Perguntas frequentes
O que é um JWT (JSON Web Token)?
É um formato compacto para transmitir informações entre duas partes de forma assinada, muito usado para autenticação. Um JWT é composto por três partes separadas por ponto: Header, Payload e Assinatura, cada uma codificada em Base64URL.
Essa ferramenta verifica a assinatura do token?
Não. A ferramenta apenas decodifica o conteúdo do Header e do Payload, que não são criptografados, apenas codificados em Base64URL. Ela não confirma se a assinatura é válida nem se o token é autêntico, já que isso exigiria a chave secreta ou a chave pública usada para assiná-lo.
O token que eu colar aqui fica salvo em algum lugar?
Não. A decodificação acontece inteiramente no seu navegador, sem enviar o token para nenhum servidor.
Por que o Payload de um JWT não deveria conter informações sensíveis?
Porque o Payload não é criptografado, apenas codificado em Base64URL — qualquer pessoa com acesso ao token consegue decodificá-lo e ler seu conteúdo, como esta própria ferramenta faz. A assinatura garante apenas que o conteúdo não foi alterado, não que ele esteja oculto.
