Decodificador de JWT

Um JSON Web Token é três segmentos codificados em Base64URL unidos por pontos: um cabeçalho descrevendo o algoritmo de assinatura e o tipo de token, um payload contendo os claims reais — quem o token identifica, quando expira, quais permissões concede — e uma assinatura calculada sobre os dois primeiros segmentos usando um segredo ou chave privada. Decodificar, que é o que esta ferramenta faz, significa decodificar em Base64URL os dois primeiros segmentos de volta para JSON legível; não diz nada sobre o terceiro segmento além de expor seu valor codificado bruto, porque verificar essa assinatura exige o segredo de assinatura real, que uma ferramenta baseada em navegador nunca deveria pedir para você colar.

Essa distinção — decodificar versus verificar — é a coisa mais importante a entender sobre uma ferramenta de depuração de JWT. Decodificar diz o que um token *afirma*; verificar diz se essas afirmações podem ser *confiadas*, confirmando que a assinatura foi produzida pelo emissor esperado. Um token pode decodificar perfeitamente e mostrar um payload afirmando acesso de administrador estando completamente forjado, se nada nunca verifica a assinatura contra a chave de assinatura real.

O cabeçalho e o payload são codificados, não criptografados — Base64URL é uma transformação reversível sem nenhum segredo envolvido, então qualquer um que obtenha um token, seja interceptando tráfego de rede, lendo o armazenamento do navegador, ou recebendo-o diretamente, pode decodificar o payload e ler cada claim dentro dele sem precisar de nenhuma chave. Essa é precisamente a razão pela qual o conselho padrão é manter os payloads de JWT limitados a identificadores e claims não sensíveis — um ID de usuário, uma função, um tempo de expiração — e nunca colocar uma senha, um número de cartão de crédito, ou outro dado confidencial diretamente dentro do token, porque o formato do token não fornece nenhuma confidencialidade por si só.

Os claims de timestamp padrão são armazenados como tempo Unix — um inteiro simples contando segundos desde 1º de janeiro de 1970 — o que é eficiente para máquinas compararem mas ilegível de relance para uma pessoa depurando um token a olho nu. Converter `1735689600` para "1º de janeiro de 2025, 00:00:00 UTC" à mão é exatamente o tipo de aritmética pequena e propensa a erros fácil de errar sob pressão de tempo, particularmente entre fusos horários. Renderizar os três claims como datas locais reais, e declarar diretamente se o token está atualmente expirado, válido, ou ainda não ativo, transforma uma sessão de depuração que de outra forma envolveria um cálculo secundário em uma resposta imediata e legível.