JWTs são seguros para dados sensíveis?

Os payloads de JWT são codificados em Base64Url, não criptografados — qualquer pessoa pode lê-los. Nunca armazene dados sensíveis em um JWT a menos que use JWE (JSON Web Encryption).

Qual a diferença entre algoritmos JWT HMAC e RSA?

Algoritmos HMAC (HS256/384/512) usam um segredo compartilhado — tanto o emissor quanto o verificador conhecem a mesma chave. Algoritmos RSA (RS256/384/512) usam um par de chaves pública/privada — o emissor assina com a chave privada e qualquer pessoa com a chave pública pode verificar. Use HMAC para servidor-para-servidor, RSA para sistemas distribuídos onde o verificador não deve poder criar tokens.

O que acontece quando um JWT expira?

A claim exp no payload especifica o timestamp de expiração. Após esse tempo, o token deve ser rejeitado pelo servidor. Esta ferramenta mostra o exp decodificado para que você verifique se o token ainda é válido. Note que a expiração do JWT é uma claim, não imposta pelo token em si — o servidor deve validá-la.

JWT

Codifique, decodifique e verifique JSON Web Tokens (JWT) com HS256, RS256, ES256, PS256 e mais. Depurador JWT grátis — tokens nunca saem do navegador.

Segurança e criptografia/jwt

Nenhum dado é enviado a servidores — Todo o processamento ocorre no seu navegador

Cole

Verificar assinatura

Chave secreta / Chave pública

O Depurador JWT é uma ferramenta online gratuita para codificar, decodificar e verificar JSON Web Tokens. Suporta HS256, RS256, ES256 e mais algoritmos. Todo o processamento roda no seu navegador — nenhum token é enviado para qualquer servidor.

O que é JWT?

JSON Web Token (JWT) é um padrão aberto (RFC 7519) para transmitir informações com segurança entre partes como um objeto JSON. JWTs são comumente usados para autenticação e autorização em aplicações web. Depure tokens aqui e depois verifique payloads com a decodificação [Base64](/base64) ou confira a integridade de chaves com [Hashing](/hashing).

Casos de uso comuns

Autenticar requisições de API — inclua um JWT no cabeçalho Authorization (Bearer token) para verificar a identidade e permissões do chamador.

Decodificar e depurar tokens durante o desenvolvimento — inspecione as claims do cabeçalho e payload (iss, sub, exp, iat) sem escrever código.

Verificar assinaturas de token contra um segredo compartilhado (HMAC) ou chave pública (RSA/ECDSA) para garantir integridade antes de confiar nas claims.

Como decodificar um JWT

1
Cole seu JWT
2
Inspecione o cabeçalho e o payload
3
Verifique a assinatura (opcional)

Perguntas frequentes

Ferramentas relacionadas

Base64 Encode/Decode Hashing de Texto Gerador de Senhas

O que é JWT?

Casos de uso comuns

Autenticar requisições de API — inclua um JWT no cabeçalho Authorization (Bearer token) para verificar a identidade e permissões do chamador.

Decodificar e depurar tokens durante o desenvolvimento — inspecione as claims do cabeçalho e payload (iss, sub, exp, iat) sem escrever código.

Verificar assinaturas de token contra um segredo compartilhado (HMAC) ou chave pública (RSA/ECDSA) para garantir integridade antes de confiar nas claims.