Decodificador JWT

O JWT é definido na RFC 7519 (maio de 2015), que sugere pronunciá-lo como a palavra inglesa "jot". A forma assinada mais comum são três strings Base64url unidas por pontos: header.payload.signature. O header indica o algoritmo de assinatura em alg, como HS256 ou RS256, e muitas vezes um ID de chave em kid. O payload contém as claims, campos JSON como sub (o usuário), iss (o emissor), aud (o público-alvo) e exp, nbf e iat, que são horários em segundos desde 1º de janeiro de 1970 UTC. O decodificador converte essas três para o seu horário local e para ISO 8601, e informa se o token expirou, ainda não é válido ou está dentro do período de validade.

Base64url é uma codificação, não uma criptografia, então qualquer pessoa com um token pode ler o payload exatamente como esta página faz. Nunca coloque senhas, números de cartão ou outros segredos nas claims. Um token com cinco partes separadas por pontos é um JWE, um token criptografado; o conteúdo não pode ser lido sem a chave, e o decodificador avisa isso. Um "Bearer " no início, copiado de um cabeçalho Authorization, é removido automaticamente.

A assinatura prova que o header e o payload foram produzidos por quem tem a chave e não foram alterados desde então. Para conferi-la é preciso dessa chave: o segredo compartilhado nos algoritmos HMAC como o HS256, ou a chave pública do emissor no RS256, ES256 ou EdDSA. Colar o segredo de assinatura de produção em qualquer página web é má ideia, e um decodificador que fingisse atestar um token sem a chave daria uma falsa sensação de segurança, então esta ferramenta mostra a assinatura, mas não a verifica. Trate o que você vê como uma afirmação feita pelo token, não como um fato.

A verificação deve ser feita no seu servidor, com uma biblioteca mantida e o algoritmo esperado fixado. Dois erros históricos explicam o motivo: aceitar alg "none", que permite a qualquer pessoa forjar um token sem assinatura, e a confusão de algoritmo, em que um servidor que espera RS256 é induzido a conferir uma assinatura HS256 usando a chave pública como segredo HMAC. O decodificador serve para depuração: ver quais claims um provedor emite, notar um público-alvo errado ou descobrir que uma sessão falhou porque o exp passou há um minuto. Para ler os segmentos Base64url em estado bruto, use o decodificador de Base64.