Decodificador JWT
Decodifica e inspecciona JSON Web Tokens (JWT) con análisis detallado de claims
Estructura del token
00
Algoritmo
—
Claims
0
Estado del token
—
Pega tu token JWT aquí...
01
¿Qué es un JWT?
Un JSON Web Token, o JWT, es una cadena compacta que lleva claims, como quién es un usuario y cuándo caduca su acceso. Tiene tres partes separadas por puntos: un encabezado (header), un payload y una firma. El encabezado y el payload son JSON codificado en Base64 URL-safe, así que cualquiera puede leerlos. La firma permite a un servidor confirmar que el token no se ha modificado.
Este decodificador separa el token, muestra el encabezado y el payload como JSON formateado y convierte los claims exp, iat y nbf en fechas legibles, con el estado de expiración en directo. Solo decodifica y no verifica la firma. El token se decodifica en tu navegador y nunca se sube, así que puedes inspeccionar tokens de producción sin enviarlos a terceros.
02
Cómo decodificar un JWT
- Pega el token en la entrada, o haz clic en Cargar ejemplo para probar uno.
- Lee el encabezado para ver el algoritmo de firma y el tipo de token.
- Lee el payload para ver los claims, con las fechas en tu hora local.
- Mira el estado del token para saber si está activo o expirado.
- Copia el encabezado o el payload como JSON si lo necesitas en otro sitio.
03
Preguntas frecuentes sobre el decodificador JWT
- ¿Qué son el header, el payload y la firma de un JWT?
- El header indica el algoritmo de firma, como HS256 o RS256, y el tipo de token. El payload contiene los claims: los registrados, como sub, iss, aud y exp, y cualquier dato personalizado. La firma se calcula a partir del header y del payload con un secreto o una clave privada, así que cualquier cambio en una de las dos partes la invalida.
- ¿Es seguro pegar un JWT aquí?
- El token se decodifica en esta pestaña del navegador y nunca se envía a un servidor, ni se registra ni se guarda, así que pegar aquí un token de producción no lo expone. Aun así, trata los tokens como contraseñas: quien tenga un token válido puede usarlo hasta que caduque. Borra la entrada cuando termines y evita compartir capturas del payload.
- ¿Qué significan exp, iat y nbf?
- Son timestamps Unix en segundos. exp es la hora de expiración, a partir de la cual el token debe rechazarse. iat es el momento en que se emitió el token, y nbf es la hora antes de la cual no debe aceptarse. El decodificador muestra cada uno como fecha en tu hora local. Para convertir otros timestamps, usa el Conversor de timestamp Unix.
- ¿Esta herramienta verifica la firma del JWT?
- No. Decodifica el header y el payload, pero no comprueba la firma, así que un token decodificado no demuestra que sea auténtico. La verificación necesita el secreto en los algoritmos HMAC, o la clave pública en RSA y ECDSA, y debe hacerse en tu servidor con una librería JWT que se mantenga al día.
04