A sua aplicação web retorna erro 401 Unauthorized ou 403 Forbidden e você precisa inspecionar quais papéis, permissões ou data de expiração viajam no token, sem expor credenciais de produção em sites públicos.
Transparência Radical DataKorex: Separamos e decodificamos tokens JWT no lado do cliente, no seu navegador ($0). Veja Header, Payload, claims e datas unix convertidas para o horário local sem enviar o token pela internet.
Como usar Decodificar JWT passo a passo?
- 1. Cole o seu token JWT: Cole a cadeia codificada de três segmentos separados por pontos (Header.Payload.Signature).
- 2. Confira claims e datas de expiração: Veja o payload JSON formatado, com a data legível de expiração (exp) e de emissão (iat).
- 3. Copie o payload decodificado: Copie o JSON limpo com um clique para seus testes ou para depurar sessões.
A conta dos passos: método tradicional vs. KorexTools
Usar depuradores web convencionais na nuvem (4 riscos sérios)
- Enviar tokens de produção com sessões reais a servidores de terceiros.
- Ter de calcular à mão em que data expira um número unix como 1745678900.
- Sofrer com lentidão ou interfaces carregadas só para consultar um campo de usuário.
- Expor segredos ou claims de infraestrutura a ferramentas que guardam histórico.
Com Decodificar JWT no KorexTools (3 passos em 1 segundo)
- Cole o seu token JWT na área de entrada.
- Confira os claims, os papéis do usuário e a data de expiração já calculada.
- Copie o payload JSON formatado para seus testes de desenvolvimento.
O risco de colar tokens JWT de produção em depuradores online
Um JSON Web Token (JWT) costuma conter identificadores de usuário, papéis de administrador, permissões de acesso e e-mails corporativos. Colar tokens reais de produção em sites tradicionais expõe essas informações a scripts de rastreamento de terceiros.
O decodificador JWT do KorexTools funciona 100% no lado do cliente. Ele separa a cadeia Base64Url nos três componentes e decodifica os segmentos direto no seu navegador, de modo que o token não viaja pela rede.
Ferramentas de depuração integradas
- Conversão automática de timestamps unix (exp, iat, nbf) para data e hora legíveis.
- Indicação visual do estado de expiração (informa se o token já expirou ou ainda é válido).
- Destaque por cores: vermelho (Header), roxo (Payload) e ciano (Assinatura).
O fator de segurança: por que decodificar não exige a chave secreta
Muita gente acredita que é preciso a chave secreta para ver o conteúdo de um JWT. Header e Payload são apenas Base64Url, públicos; a chave só serve para verificar que a assinatura não foi alterada. Por isso o conteúdo de um token é legível por qualquer pessoa que o tenha em mãos, e inspecioná-lo em um ambiente local e privado é o mais prudente.
Comparação: depuradores JWT na nuvem vs. KorexTools local
| Aspecto | Depuradores web convencionais | KorexTools JWT Decoder |
|---|---|---|
| Privacidade do token | Exposto a servidores e analytics | 100% na memória local ($0 de vazamento) |
| Datas de expiração | Muitas vezes só o número epoch | Traduzidas automaticamente para data legível |
| Custo e cadastro | Pedem login para recursos pro | 100% grátis e sem cadastro |
O que Decodificar JWT NÃO resolve (honestidade radical)
- Não valida a assinatura criptográfica: ela é mostrada para inspeção, mas a verificação depende da chave que só o seu servidor deve ter.
- Não renova nem atualiza sessões expiradas; isso é responsabilidade do seu servidor de autenticação.
- Não gera novos tokens assinados.
Riscos de privacidade e erros comuns que você deve evitar
O token é tratado de forma efêmera, apenas na memória da aba. Ao fechar ou recarregar a página, ele desaparece, sem deixar rastro no navegador. Ainda assim, evite colar tokens de produção ativos em qualquer lugar e prefira tokens de teste.
- Guardar informação confidencial sem cifrar (como senhas) dentro dos claims de um JWT.
- Ignorar que o relógio do cliente precisa estar sincronizado para avaliar corretamente o claim exp.
Perguntas frequentes
Esta ferramenta verifica a assinatura do token?
Não. Ela decodifica e mostra a assinatura para inspeção, mas não valida criptograficamente, porque isso exigiria a sua chave, que você não precisa informar aqui.
O que significa o selo "Expirado"?
Que o timestamp do claim exp é anterior à hora atual do seu computador, então as APIs costumam rejeitar a requisição com erro 401.
O que eu faria se estivesse no seu lugar
«Confira sempre o claim exp antes de depurar permissões nos seus endpoints; muitos erros 401 misteriosos acontecem simplesmente porque o token expirou há poucos minutos.» — Equipe de Engenharia da DataKorex.