O que um decodificador JWT mostra
Um JSON Web Token assinado em formato compacto normalmente tem três partes separadas por pontos: cabeçalho, conteúdo e assinatura. Este decodificador interpreta os dois primeiros segmentos Base64url como JSON em UTF-8 para mostrar as informações declaradas. Ele não verifica a terceira parte. Reverter a codificação não comprova quem emitiu o token, se ele foi alterado ou se um servidor o aceitará. O cabeçalho pode indicar algoritmo e tipo; o conteúdo pode ter emissor, público, sujeito e campos próprios da aplicação. Trate todos os valores exibidos como dados não confiáveis até que o sistema aplique uma política completa de validação. O token inserido permanece no navegador.
Como ler exp, nbf e iat
Campos de tempo JWT como exp, nbf e iat usam NumericDate em segundos desde o início da época Unix. O número 2.000.000.000 representa segundos, não milissegundos. O decodificador mostra a data UTC legível ao lado do número original. Isso ajuda a investigar um token expirado, ainda não válido ou emitido em momento inesperado. A data exibida interpreta uma declaração do conteúdo; ela não confirma validade. Cole o token de exemplo e compare exp com a data calculada. Se o sistema gerador escrever por engano um carimbo de treze dígitos em milissegundos, a data ficará absurdamente distante ou fora de uma faixa útil. Corrija a origem do dado em vez de mudar a escala sem entender a convenção. Compare logs em UTC.
Fluxo prático de depuração
Pegue um token de teste de um ambiente de desenvolvimento controlado e verifique se emissor, público e sujeito esperados estão presentes. Compare exp e nbf com o horário da requisição que falhou. Se o conteúdo parecer correto, mas o servidor recusar o token, investigue a verificação da assinatura, a escolha da chave e a política de aplicação no servidor. O decodificador não sabe se aquele sistema deveria aceitá-lo. O conteúdo está somente codificado, não criptografado: qualquer pessoa com o token pode ler nomes ou informações privadas. Evite compartilhar credenciais reais em chamados públicos, capturas, URLs e exemplos. Mesmo com processamento local, copiar o resultado pode divulgar dados.
Limites e erros frequentes
Um JWE criptografado de cinco partes não é o token assinado de três partes aceito por esta ferramenta. Um segmento Base64url incorreto, UTF-8 inválido ou cabeçalho JSON que não seja objeto é rejeitado em vez de corrigido silenciosamente. A página não busca chaves, verifica assinatura JWS, restringe algoritmos permitidos, compara público esperado nem aplica tolerância de relógio. Essas tarefas pertencem a uma biblioteca de validação configurada adequadamente. Não atribua autorização por encontrar uma função admin no conteúdo decodificado: um token modificado pode mostrá-la mesmo com assinatura inválida. Uma data exp futura também não basta; emissor, público, revogação ou outras regras podem causar recusa. Use esta página para entender a estrutura, não para decidir confiança.