O que é um JWT
JSON Web Token é um formato de token muito usado em autenticação de APIs. Ele tem três partes separadas por ponto: header (algoritmo e tipo), payload (os dados, chamados de claims) e assinatura (garante que o token não foi alterado).
Claims mais comuns
- sub: identificador do usuário.
- iat: quando o token foi emitido.
- exp: quando o token expira.
- iss e aud: quem emitiu e para quem o token foi emitido.
Perguntas frequentes
É seguro colar meu token aqui?
O token é decodificado no seu navegador e não é enviado para nenhum servidor. Mesmo assim, evite compartilhar tokens de produção válidos: quem tiver o token pode usá-lo até ele expirar.
Por que a assinatura não é verificada?
Verificar a assinatura exige a chave secreta (HS256) ou a chave pública (RS256) de quem emitiu o token. A ferramenta serve para inspecionar o conteúdo, e a verificação deve ser feita no seu back-end.
O conteúdo do JWT é criptografado?
Não. O header e o payload são apenas codificados em Base64 URL. Qualquer pessoa com o token consegue ler, por isso nunca coloque senhas ou dados sensíveis no payload.