Como funciona um JWT
Um JWT tem três partes separadas por ponto: header.payload.signature. O header e o payload são apenas Base64URL — qualquer um decodifica (é o que fazemos aqui). A terceira parte é a assinatura, que prova que o token não foi alterado e só pode ser verificada por quem tem a chave.
Por isso, nunca guarde segredos no payload de um JWT: ele não é criptografado, só codificado. As claims de tempo mais comuns são iat (emitido em), nbf (não antes de) e exp (expira em) — todas em timestamp Unix, que convertemos para data legível.
Perguntas frequentes
Vocês validam a assinatura do token?
Não. Esta ferramenta apenas decodifica header e payload para inspeção. Validar a assinatura exige a chave secreta (HS256) ou pública (RS256), que você não deve colar em ferramentas online.
O token expirou?
Se houver a claim exp, mostramos a data de expiração e indicamos se já passou em relação ao horário do seu computador.
É seguro colar meu token aqui?
A decodificação é local, no navegador — o token não trafega pela rede. Ainda assim, evite compartilhar tokens de produção válidos.