Documentação · Playgrounds

Codificador / Inspetor JWT

Codifique, decodifique, inspecione e verifique tokens JWT no navegador. Header, payload e assinatura são tratados localmente — o token não é enviado a nenhum servidor.

Tudo roda no seu dispositivo. Ainda assim: não cole tokens de produção ou segredos reais em qualquer site (incluindo este) se não confiar no ambiente.

Abas

Aba	O que faz
Inspecionar	Mostra header, payload, claims de tempo e permite verificar a assinatura
Decodificar	Só lê o token (Base64URL → JSON), sem validar a assinatura
Codificar	Gera um JWT assinado com HMAC (HS256 / HS384 / HS512)

Decode vs verify

Decode apenas interpreta o conteúdo. Um token inválido ou adulterado ainda pode “abrir” se o Base64 estiver íntegro.
Verify confere a assinatura com a chave que você informar. Só então dá para afirmar que o token não foi alterado.

Decodificar ≠ autenticar. Sem verificação de assinatura, trate o payload como dados não confiáveis.

Algoritmos suportados

Uso	Algoritmos
Codificar	HS256, HS384, HS512 (HMAC)
Verificar	HMAC (HS), RSA (RS) e ECDSA (ES*) — com a chave correspondente

A ferramenta não assina com RSA/ECDSA (só verifica com chave pública). Tokens com alg: none não são tratados como assinatura válida.

Como usar (resumo)

Cole o token na aba Inspecionar ou Decodificar.
Para verificar: informe o segredo HMAC ou a chave pública (PEM / JWK, conforme o formato).
Na aba Codificar, monte header/payload e um segredo HMAC para gerar um token de teste.

Tecnologia utilizada

@noble/hashes para HMAC (SHA-256 / 384 / 512) no browser.
Web Crypto API para verificação RSA e ECDSA.
Codificação Base64URL sem depender de um servidor.