Descodificador de JWT
Perguntas frequentes
O que convém saber sobre JSON Web Tokens
O que é um JSON Web Token (JWT)?
Um JWT é uma norma aberta (RFC 7519) para transmitir informação de forma compacta e segura entre duas partes, como objeto JSON. Tem três partes separadas por pontos: cabeçalho, conteúdo e assinatura, cada uma em base64url. Usa-se sobretudo para autenticação e troca de informação.
Esta ferramenta verifica a assinatura do token?
Não. A ferramenta só descodifica o cabeçalho e o conteúdo para os mostrar em claro. Não verifica a assinatura criptográfica, porque para isso seria preciso o segredo ou a chave pública. A descodificação acontece toda no navegador: nenhum token é enviado para um servidor.
O conteúdo de um JWT é secreto?
Não, o conteúdo de um JWT normal está apenas codificado em base64url, não cifrado: qualquer pessoa o consegue ler. Nunca ponha dados sensíveis lá dentro. A assinatura só garante que o token não foi alterado, não que o conteúdo seja secreto. Para confidencialidade é preciso cifragem (JWE).
O descodificador de JWT verifica a assinatura?
Não, o descodificador apenas lê o cabeçalho e o conteúdo, e não confere a assinatura. Decidir se um token é genuíno exige a chave secreta, que fica no servidor que o emitiu.
Como sei se um JWT expirou?
Quando o conteúdo traz o campo exp, o valor é convertido numa data e hora legíveis, e o token aparece como expirado ou válido face ao relógio do seu computador. O campo iat também aparece como data.
O token que colo é enviado para algum lado?
Não, a descodificação acontece no navegador: o token é dividido pelos pontos e as duas primeiras partes em base64url são convertidas em JSON localmente, sem nenhuma chamada a um servidor.