Pular para o conteúdo
Toolars
Explorar

Codificador / decodificador JWT

JWT Encoder / Decoder

Decodifique, assine e verifique JWTs em HS256–512, RS256–512 e ES256–512, com checagens de exp/nbf — chaves e tokens nunca saem da aba.

Processamento local

Detalhes do processamento

Os dados da ferramenta são processados no seu dispositivo.

Esta ferramenta pode baixar recursos. Os serviços de conta são separados.

Preparando uso offline…

Informações de privacidade
Reportar erro

Caminho da tarefa / da entrada ao resultado

Como decodificar, assinar e verificar um JWT

  1. 01

    Escolha a operação

    Escolha Decodificar para inspecionar declarações não confiáveis, Assinar para criar um token, ou Verificar para conferir um token com o algoritmo e a chave que você selecionou.

  2. 02

    Cole o token ou escreva o payload

    Para Decodificar e Verificar, cole o token compacto de três segmentos em JWT compacto, até 64 KiB. Para Assinar, escreva as declarações como um objeto JSON em Payload JSON, até 32 KiB; qualquer coisa que não seja um objeto JSON é recusada.

  3. 03

    Carregue um exemplo para explorar

    Pressione Carregar exemplo para ver o fluxo completo com material seguro: Decodificar recebe um token HS256 legível, os modos HMAC recebem um token de demonstração com seu segredo, e os modos assimétricos carregam um payload para você colar sua própria chave correspondente.

  4. 04

    Selecione o algoritmo e a chave

    Em Assinar e Verificar, escolha um Algoritmo dos grupos HMAC, RSA ou ECDSA. Algoritmos HS aceitam um Segredo compartilhado de pelo menos 32 bytes UTF-8 para HS256 (48 para HS384, 64 para HS512); RS e ES aceitam uma chave privada PKCS8 codificada em PEM para assinar ou uma chave pública SPKI para verificar, até 16 KiB.

  5. 05

    Execute e leia o veredito

    Execute a operação selecionada. Decodificar exibe os dados não confiáveis do cabeçalho e do payload; Assinar produz um token compacto. Verificar confere a assinatura e quaisquer condições exp/nbf no horário do navegador exibido. Leia os cartões de tempo e a mensagem específica de falha, depois corrija a entrada e execute de novo.

  6. 06

    Copie, baixe e limpe

    Copiar resultado coloca o token ou o JSON decodificado na área de transferência, e Baixar salva toolars-jwt.txt ou toolars-jwt.json. As chaves ficam na memória: mudar de modo ou algoritmo limpa o campo da chave, e Redefinir limpa as entradas e as chaves atuais. Saídas já passadas para outra ferramenta não são removidas; consulte a pergunta sobre privacidade.

Fatos da ferramenta

Processamento
No seu navegador
A entrada sai deste dispositivo
Nunca
Retenção
Transferência local opcional
Preço
Grátis

Sua entrada fica no navegador.

Codificador/decodificador JWT usa seu caminho de execução local verificado e não cria um histórico oculto de entradas ou saídas.

Execução local

Roda dentro da aba atual do navegador.

Sem processamento oculto

Os dados ativos da ferramenta nunca viram um registro de documento do Toolars.

Não precisa de conta

Use o fluxo principal sem criar um perfil. Os favoritos sincronizam com sua conta depois que você entra.

Área de trabalho e transferência

Fechar a aba limpa os dados normais da área de trabalho. Se você escolher uma transferência, o resultado selecionado permanece neste dispositivo após recarregar ou fechar a aba e pode ser aceito por 30 minutos. Aceitar ou descartar remove o resultado; registros expirados são limpos no próximo uso da transferência.

O que Codificador/decodificador JWT realmente faz

Um fluxo de login retorna um token que a API continua rejeitando, e a primeira pergunta é o que as declarações realmente dizem: Decodificar mostra o cabeçalho e o payload em segundos. Depois, um serviço de desenvolvimento precisa de um token de teste de curta duração assinado com um segredo local, e uma chave de staging precisa ser conferida contra tokens que falham na verificação. O JWT Encoder / Decoder lê, assina e verifica tokens inteiramente no navegador. Tokens de produção e material de chave são colados em uma página que não transmite nada, e as chaves nem sequer tocam o armazenamento do navegador.

Perguntas frequentes

Quais algoritmos são suportados?
HS256, HS384 e HS512 com um segredo compartilhado; RS256, RS384 e RS512 com chaves PKCS8 e SPKI; ES256, ES384 e ES512 em suas curvas padrão. Tokens sem assinatura alg:none estão desativados, e Verificar recusa um token cujo algoritmo do cabeçalho difere do selecionado.
Decodificar prova que um token é genuíno?
Não. Decodificar apenas lê o token. Mesmo um resultado bem-sucedido de Verificar não estabelece a identidade do emissor, o público pretendido, o status de revogação ou permissão para usar o token em uma aplicação.
Quais são os limites e os requisitos de chave?
Tokens de até 64 KiB, payloads de até 32 KiB e chaves ou segredos de até 16 KiB. Segredos HMAC devem ter pelo menos 32, 48 ou 64 bytes UTF-8 para HS256, HS384 e HS512; chaves RSA e ECDSA devem ser chaves privadas PKCS8 codificadas em PEM para assinar ou chaves públicas SPKI para verificar.
O que Verificar realmente confere?
Verificar usa o algoritmo e a chave que você selecionou, o relógio do navegador e tolerância de relógio zero. exp e nbf são conferidos apenas quando presentes; iat não é um limite de idade. Emissor, público, propriedade da chave, revogação e regras da aplicação não são conferidos. Isto é um retrato instantâneo, não uma decisão de autorização. HMAC usa o segredo UTF-8 exato, incluindo espaços, sem decodificação Base64.
Por que minha chave ou segredo foi rejeitado?
Três verificações rodam antes de qualquer criptografia: segredos HMAC devem atingir o comprimento mínimo de bytes para o algoritmo HS escolhido, chaves privadas devem ser valores PKCS8 codificados em PEM começando com BEGIN PRIVATE KEY, e chaves públicas devem ser valores SPKI começando com BEGIN PUBLIC KEY. Chaves acima de 16 KiB são recusadas, e uma chave ECDSA deve estar na curva que seu algoritmo ES nomeia.
Tokens ou chaves são enviados ou armazenados?
Tokens e chaves são processados localmente sem envio. O motor de assinatura carrega sob demanda; as chaves ficam na memória do componente e não são gravadas no armazenamento do navegador nem em logs. Redefinir limpa as entradas e as chaves atuais. Se você passar explicitamente uma saída para outra ferramenta, ela será salva no armazenamento local do navegador. Redefinir, recarregar ou fechar o espaço de trabalho não remove essa cópia pendente. Receber ou descartar a transferência a exclui; após 30 minutos, ela não pode mais ser recebida.

Tarefas relacionadas, não um beco sem saída.

Passe para outro espaço de trabalho focado sem voltar ao índice completo.

Área de trabalho URL

URL Workbench

Limpe listas URL protegendo links assinados, com motivos por linha, comparação de componentes e exportação de sitemap.

Editar

Explorador JSON

JSON Explorer

Consulte JSONPath, extraia campos e restaure registros JSON Pointer sem perder a precisão de números grandes.

Inspecionar

Validador JSON Schema

JSON Schema Validator

Valide Draft 7 ou 2020-12 localmente com caminhos de erro; infira esquemas a partir de várias amostras.

Inspecionar

Preparação de HTML

HTML Publishing

Limpe HTML colado preservando listas, links e semântica de tabelas, com prévia segura das alterações.

Publicar