Decode JWT header and payload locally. No token leaves your browser.
⚠️ Decoding runs 100% locally in your browser — your JWT is never uploaded. Never paste production access tokens or sensitive credentials into any online tool. This decoder only reads the header and payload; it does NOT verify signatures and must not be used to trust token contents.
A JWT (RFC 7519) is a compact, URL-safe string of three dot-separated segments: a header that names the signing algorithm, a payload of claims about the user, and a signature that cryptographically binds the two. Each segment is JSON that has been Base64URL-encoded (URL-safe base64 with the padding stripped). This decoder reads the first two segments locally and checks the exp claim against the current time — it never verifies the signature, because that requires the server's secret key.
Left: the two JSON segments are Base64URL-encoded so the token survives URLs, cookies and Authorization headers. Right: the signature is HMAC-SHA256 (or RSA/ECDSA) computed over the encoded header.payload with a secret only the server holds — that is what proves the token was not tampered with.
Maya, a backend engineer, gets a 401 Unauthorized from an API. She pastes the token from the Authorization header into this decoder to see exactly what the server was complaining about.
A JWT has three parts: header.payload.signature. Paste your JWT to decode the base64 header and payload, check expiry, and inspect claims — all locally in your browser.
FreeToolHub JWT Decoder is a free browser-based tool that decodes JWT tokens to inspect header and payload, no signup, no upload.
Decodifique e examine o header e o payload dos seus tokens JWT na hora. Sem cadastro: o token nunca sai do seu navegador.
O JWT Decoder divide qualquer JSON Web Token em suas três partes separadas por pontos e renderiza cada uma em formato legível: o cabeçalho mostrando o algoritmo e o ID da chave, o payload com todas as claims decodificadas, e a seção de assinatura. Além da decodificação simples, ele executa verificações práticas que os desenvolvedores realmente precisam — detecção de algoritmo entre HS256, HS512, RS256, ES256 e mais, uma contagem regressiva de expiração convertendo as datas numéricas exp e iat em timestamps legíveis para humanos, e sinalização instantânea de tokens expirados, ainda não válidos ou suspeitos malformados. Tudo é decodificado localmente no seu navegador, o que importa porque JWTs são credenciais: colar um em um serviço web aleatório é o mesmo que entregar uma chave de sessão.
Desenvolvedores backend depurando autenticação inspecionam quais claims um provedor de identidade realmente emitiu — papéis, escopos, locatários — em vez do que a documentação prometia. Engenheiros frontend rastreando por que um usuário foi desconectado verificam o timing exp contra o desvio de relógio. Integradores de API verificando tokens de webhook e OAuth confirmam o público e emissor antes de abrir tickets de suporte. Aprendizes de segurança estudam a estrutura real de tokens com segurança, e qualquer pessoa revisando um token antes de colá-lo em logs pode remover ou inspecionar claims sensíveis primeiro.
(1) Cole o token — a ferramenta detecta automaticamente o formato JWT e divide nos pontos. (2) O cabeçalho decodifica de base64url, revelando os campos alg, typ e kid. (3) O payload decodifica com cada claim padrão anotada: sub, iss, aud, exp, iat, nbf, mais claims customizadas renderizadas como estão. (4) Timestamps convertem para seu fuso horário local com uma contagem regressiva ao vivo; tokens expirados ficam vermelhos com o tempo decorrido desde a expiração. O segmento de assinatura é mostrado mas não verificado, pois verificação requer a chave secreta ou pública, que nunca deve ser colada em ferramentas web.
As claims registradas do payload carregam a semântica: sub identifica o assunto, geralmente o ID do usuário; iss é o emissor, o servidor de autenticação que criou o token; aud lista os destinatários pretendidos e é o que as APIs verificam para rejeitar tokens estrangeiros; exp e nbf delimitam a janela de validade, e iat registra o tempo de criação. Além desses, provedores adicionam seus próprios — papéis, permissões, email_verified, locatário — e lê-los é frequentemente a maneira mais rápida de depurar lógica de autorização. Uma nota de segurança que molda como você trata qualquer token decodificado: decodificar não é verificar. O payload é base64, não criptografia, então qualquer pessoa pode ler ou forjar claims; apenas a assinatura, verificada contra o segredo por seu backend, prova autenticidade. É por isso que esta ferramenta decodifica localmente e nunca pede chaves.
Um JSON Web Token (JWT) é um formato de token compacto e seguro para URL, definido na RFC 7519. Consiste em três partes codificadas em Base64URL separadas por pontos: header.payload.signature. JWTs são amplamente usados para autenticação e troca de informações — quando você faz login em um aplicativo web, o servidor geralmente retorna um JWT que seu navegador envia com cada solicitação subsequente para provar sua identidade.
Não. O JWT Decoder processa seu token inteiramente no seu navegador usando decodificação Base64 em JavaScript. Seu token — incluindo quaisquer segredos de sessão, IDs de usuário ou PII no payload — nunca deixa seu dispositivo. Isso é crítico para segurança: diferentemente de jwt.io e decodificadores online similares, você pode depurar tokens de produção aqui com segurança.
O cabeçalho geralmente contém dois campos: "alg" (o algoritmo de assinatura, como HS256, RS256, ES256 ou HS384) e "typ" (o tipo de token, sempre "JWT"). O algoritmo diz como a assinatura foi criada — HS256 significa um segredo compartilhado, RS256 significa uma chave privada RSA. Algoritmos incompatíveis entre cabeçalho e assinatura real indicam um potencial problema de segurança.
O payload contém uma claim "exp" (tempo de expiração) como um timestamp Unix em segundos. O decoder converte isso para uma data legível e compara com o tempo atual. Se o token estiver expirado, um selo vermelho "EXPIRADO" aparece. O payload também pode conter timestamps "iat" (emitido em) e "nbf" (não antes) para validação completa do ciclo de vida.
A ferramenta decodifica e exibe a assinatura mas não a verifica criptograficamente — verificação requer a chave secreta (para HMAC) ou chave pública (para RSA/ECDSA), que apenas o servidor emissor possui. No entanto, a ferramenta sinaliza condições suspeitas: algoritmos fracos (none, HS256 com chaves curtas), tokens expirados e claims obrigatórias ausentes.
Sim. Decodificar um JWT apenas faz parsing base64 das seções de cabeçalho e payload — não transmite seu token para nenhum lugar. O processamento roda inteiramente em JavaScript na sua máquina local com zero requisições de rede. Diferentemente de jwt.io (que carrega analytics de terceiros), esta ferramenta não tem rastreamento, cookies ou dependências externas.
Yes. Decoding a JWT only base64-parses the header and payload sections—it does not transmit your token anywhere. Processing runs entirely in JavaScript on your local machine with zero network requests. Unlike jwt.io (which loads third-party analytics), this tool has no tracking, no cookies, and no external dependencies.
It decodes and displays the header (algorithm, type), payload (claims, expiration, issuer), and signature. For HS256 tokens, you can paste the secret to verify signature integrity locally. It supports RS256, ES256, and HS256 algorithms—the three most common in production OAuth 2.0 and OpenID Connect implementations.
Esta ferramenta também é conhecida por estas tarefas — cada link abre a mesma ferramenta com um guia focado:
What do you call a really smart cookie?
No signups, no data sold. Every tool is free to use — the free tier allows 5 downloads or saves per day, and the optional Pro plan ($7/mo, $59/yr) adds unlimited downloads, batch processing, white-label exports and an ad-free experience.
☕Support me on Ko-fi— support the free tier100% of proceeds go towards hosting & building more free tools.