Inspecionar JWT
Leia header e payload e examine a expiração de JWT, sem validar assinatura.
O que faz e quando usar
Um JWT é uma forma de transportar declarações sobre um contexto, como um usuário ou uma sessão. Em um token assinado na estrutura usual, três partes são separadas por pontos: header, payload e signature. Ler as duas primeiras partes revela dados, mas não demonstra que foram produzidos por uma origem confiável.
Processo utilizado
Header é o cabeçalho que declara parâmetros como o algoritmo. Payload é o conjunto de dados transportados. As propriedades desses dados são chamadas claims: sub pode identificar um sujeito, iss o emissor, aud o destinatário previsto e exp um instante de expiração. Esses nomes são convenções de significado, não garantias de que alguém confiável os escreveu. Header e payload usam JSON em Base64URL, uma codificação que transforma bytes em caracteres adequados a esse transporte. Ela é reversível e não protege a leitura do conteúdo. Signature é a parte de assinatura ou autenticação calculada conforme algoritmo e chave; verificá-la exige um procedimento e uma chave apropriados. Esta ferramenta não valida a assinatura. Ela decodifica header e payload e compara exp numérico com o relógio. Exibir a terceira parte ou ler alg no header não equivale a demonstrar que a assinatura é correta. Não há validação completa de emissor, audiência, revogação ou todas as condições temporais.
Aplicação prática e conferência
Não confie no nome do algoritmo só porque ele está no header: ele também é um dado recebido. Uma validação de autenticação precisa impor algoritmos permitidos, verificar a assinatura com a chave apropriada e avaliar claims como emissor, audiência e validade. O indicador temporal desta página cobre apenas parte dessa análise e não autoriza acesso.
Exemplo resolvido
Imagine um payload de teste com sub igual a usuario-7 e exp igual a 1.700.000.000. exp representa segundos desde a época Unix, não milissegundos. Se o relógio atual estiver depois desse instante, a ferramenta indica expiração. Alterar o payload para uma data futura pode mudar essa leitura, mas não torna válida a assinatura do token alterado.
Leitura do resultado e erros comuns
Não expirado significa apenas que o exp numérico lido está depois do relógio usado na comparação. Não demonstra que a informação veio do emissor declarado, que se destina à aplicação ou que permanece autorizada. Alterar o payload para uma data futura pode mudar essa leitura, mas não cria uma assinatura válida para o conteúdo alterado. Sem exp numérico, a indicação é ausência de expiração informada; ela não prova validade ilimitada. A inspeção é leitura de dados não autenticados e não deve liberar acesso a recursos.
Formatos e limitações
Aceita a estrutura de três partes com cabeçalho e payload JSON. Não valida assinatura, algoritmo permitido, iss, aud, nbf ou revogação. O estado temporal depende do relógio do dispositivo e não inclui tolerância de tempo configurável. Base64URL não oculta o conteúdo do token.