Cómo funciona
El descodificador de JWT analiza un JSON Web Token y muestra sus tres partes (cabecera, payload y firma) en un formato legible. Comprueba la estructura del token y descodifica las partes codificadas en Base64url sin necesitar la clave con la que se firmó.
Los JWT son el formato estándar de token de autenticación que usan OAuth 2.0, OpenID Connect y la mayoría de las API modernas. Llevan las reclamaciones (identificador de usuario, roles, caducidad, emisor) en un formato autocontenido en el que cualquier manipulación se detecta. Entender qué hay dentro de un JWT es imprescindible para depurar problemas de autenticación, revisar respuestas de una API y comprobar el contenido de un token.
Cómo se usa: pega un JWT (la cadena de tres partes separadas por puntos: cabecera.payload.firma). El descodificador separa las partes, descodifica la cabecera y el payload desde Base64url y los muestra como JSON formateado. La fecha de caducidad (reclamación exp) se muestra en formato legible, igual que la de emisión (iat) y la de validez inicial (nbf), en hora local.
Anatomía de un JWT: la cabecera indica el algoritmo de firma (normalmente RS256 o HS256) y el tipo de token. El payload contiene las reclamaciones, tanto las estándar (iss, sub, aud, exp, iat, nbf, jti) como las que añada el servicio emisor. La firma demuestra que ni la cabecera ni el payload se han manipulado, pero verificarla requiere la clave secreta o la pública, y esta herramienta no lo hace.
Nota de seguridad: esta herramienta no verifica firmas a propósito. Para verificarlas, usa la librería de JWT de tu lenguaje con la clave correspondiente. Pegar un JWT aquí te muestra su contenido, pero no confirma que el token sea válido ni auténtico.
Privacidad: un JWT codifica tu identidad y los datos de tu sesión, así que no deberían pegarse en servicios de terceros. Este descodificador funciona por completo en tu navegador: el token no sale de tu dispositivo.
Preguntas frecuentes
- No. Verificar la firma requiere la clave secreta (en HS256) o la clave pública (en RS256 o ES256). Esta herramienta solo descodifica la cabecera y el payload, no comprueba la autenticidad. Para eso, usa la librería de JWT de tu aplicación.
- exp es la fecha de caducidad, expresada como marca de tiempo Unix (segundos desde el 1 de enero de 1970). La herramienta la convierte a fecha y hora local legibles y te indica si el token ya ha caducado.
- Sí. El descodificador funciona por completo en tu navegador y el token no se envía a ningún servidor. Aun así, como norma general de seguridad, evita pegar credenciales de producción en cualquier herramienta web siempre que puedas.
- La cabecera lleva metadatos del token: el algoritmo de firma (alg: RS256) y el tipo (typ: JWT). El payload lleva las reclamaciones, es decir, los datos en sí, como el identificador de usuario, los roles y la caducidad. Los dos van codificados en Base64url, pero no cifrados.
¿Puede verificar la firma del JWT?
¿Qué significa la reclamación «exp»?
¿Es seguro pegar aquí un JWT real?
¿Qué diferencia hay entre la cabecera y el payload?
RankForge — Technical SEO Audit
Score any page out of 100, see every issue with the exact fix, generate JSON-LD schema and crawl up to 50 pages — all inside Chrome's side panel, with nothing sent to a server.