Decodificar um JWT

Não — e nesta página esse é o ponto principal, não um recurso a mais. Um JWT costuma ser uma credencial ativa: quem o tem pode agir em seu nome até ele expirar. Colar um em um decodificador online que o envia para um servidor é entregar uma chave que funciona, e nenhuma promessa de não registrar desfaz isso. Este decodificador é JavaScript puro na página que você está vendo. Nada fica armazenado, nada é registrado, nenhuma requisição é feita. Depois que a página carregar, desligue o Wi-Fi e ela funciona exatamente igual. Essa é a forma mais simples de confirmar a promessa de privacidade por conta própria, em vez de confiar na nossa palavra.

Não, e nenhum decodificador online consegue fazer isso honestamente sem a sua chave de assinatura. Decodificar e verificar são operações completamente diferentes. Decodificar apenas desfaz o Base64 do token — qualquer pessoa pode fazer isso com qualquer token, e não prova nada sobre ele ser autêntico. Verificar significa recalcular a assinatura com o segredo ou a chave pública que o assinou, e essa chave nunca deve ser colada em um site. O que você vê aqui é o que o token DECLARA. Se essas declarações são confiáveis é uma pergunta que só o seu servidor, que tem a chave, pode responder.

Sim — por completo, e isso pega muita gente de surpresa. Um JWT é assinado, não criptografado. O cabeçalho e o payload são Base64, uma codificação sem nenhum segredo, então qualquer pessoa que intercepte o token consegue ler todas as claims dentro dele. A assinatura impede que ALTEREM o token; ela não faz nada para impedir que o LEIAM. Nunca coloque nada confidencial no payload de um JWT: nada de senhas, números de cartão ou dados pessoais que você não escreveria em um cartão-postal.

Que o token diz que não está assinado, e essa é uma das descobertas mais graves que esta página aponta. `alg: none` é um desvio de autenticação documentado: um atacante pega um token real, altera o payload para dizer que é administrador, define o algoritmo como “none”, remove a assinatura, e uma biblioteca que confia no cabeçalho o aceita. Toda biblioteca JWT séria hoje bloqueia isso por padrão, mas ainda existem implementações que confiam em `alg`. Um token que chega com `alg: none` deve ser tratado como um ataque até que se prove o contrário.

Isso é feito para você. `exp`, `iat` e `nbf` são timestamps Unix — segundos desde 1970 — ilegíveis como números brutos. Cada um aparece como uma data real no seu fuso horário, com quanto tempo atrás ou quanto tempo falta, e um token expirado é informado com todas as letras, em vez de deixar a conta para você. Um token sem `exp` também é sinalizado: um JWT que nunca expira não pode ser revogado pela expiração e continua válido enquanto a chave de assinatura for.

Então ele é um JWE — criptografado, e não apenas assinado — e o conteúdo realmente não pode ser lido sem a chave de descriptografia. A página reconhece esse formato e avisa, em vez de mostrar algo sem sentido. Cinco partes significam que o payload é texto cifrado de verdade; não há nada para decodificar.

As registradas são: `iss` quem emitiu, `sub` a quem se refere (geralmente um ID de usuário), `aud` para quem é, `exp` quando expira, `nbf` não válido antes de, `iat` quando foi emitido, e `jti` um ID único do token. Todo o resto é personalizado por quem construiu o sistema. Cada claim registrada aparece com o significado no resultado, então você não precisa lembrar qual abreviação de três letras é qual.