Decodificador JWT
Un decodificador JWT gratuito para leer cualquier JSON Web Token. Pega un token y verás su cabecera, su carga útil y su firma, cada claim estándar explicado y si ya ha caducado. La decodificación ocurre íntegramente en tu navegador: el token no se envía a ninguna parte.
Decodificador JWT
Pega abajo un JSON Web Token. Se decodifica en tu navegador mientras escribes, y nada se sube ni se guarda.
Pega arriba un token para decodificarlo.
Todavía no se ha decodificado nada.
El token se decodifica localmente con JavaScript. Nunca se envía a un servidor, nunca se registra y nunca se guarda, ni siquiera en el almacenamiento del navegador.
Los claims estándar, explicados
Un JSON Web Token encierra tres partes codificadas en Base64url dentro de una sola cadena: una cabecera que indica cómo se firmó, una carga útil con claims sobre el usuario y la sesión, y una firma. Las dos primeras están codificadas, no cifradas, así que cualquiera que tenga el token puede leerlas. Este decodificador te muestra exactamente qué contienen.
Ventajas principales
Casos de uso habituales
Cómo usarlo
- 1.Pega el token. Pega el token completo, con los dos puntos. Un “Bearer ” inicial se elimina por ti.
- 2.Lee el panel de estado. Muestra el algoritmo de firma, el identificador de clave si lo hay y si el token ha caducado.
- 3.Revisa los claims. Primero aparecen los claims estándar, con las marcas de tiempo convertidas en fechas reales; después, los personalizados.
- 4.Copia lo que necesites. La cabecera y la carga útil tienen un botón de copia para pegarlas en un ticket o en una prueba.
Los claims estándar, explicados
La mayoría de los tokens llevan unos pocos claims registrados. Estos son los que más verás y para qué sirve realmente cada uno.
Características principales
- Decodifica por separado la cabecera, la carga útil y la firma
- Convierte exp, nbf e iat en fechas legibles y tiempos relativos
- Señala un token caducado, uno que aún no es válido y alg: none
- Explica cada claim registrado junto a su valor
- Botones de copia para la cabecera y la carga útil decodificadas
- Funciona sin conexión una vez cargada la página
- Sin cuenta, sin subidas y sin almacenamiento
Decodificar no es verificar
Esto es lo más importante que hay que entender sobre cualquier decodificador JWT, incluido este. Decodificar lee el Base64url y te muestra el JSON. No demuestra nada sobre si el token es auténtico. Cualquiera puede fabricar un token que diga "role":"admin" y aquí se decodificará perfectamente.
Solo verificar la firma con la clave del emisor demuestra que un token es auténtico, y eso corresponde a tu servidor, nunca a una pestaña del navegador. Toma lo que ves aquí como una lectura para depurar, no como prueba. Y como la carga útil solo está codificada, nunca pongas nada secreto en ella: un JWT lo puede leer cualquiera que lo tenga. Para la versión larga —los claims detrás de la mayoría de los 401, la confusión de algoritmos y por qué un JWT no se puede revocar— lee nuestra guía para decodificar y depurar JSON Web Tokens.
Preguntas frecuentes
¿Qué es un JWT?⌄
Un JSON Web Token es una cadena compacta y segura para URLs con tres partes codificadas en Base64url y separadas por puntos: una cabecera que describe el algoritmo de firma, una carga útil con claims y una firma. Se usa sobre todo como token de acceso o de identidad después de iniciar sesión.
¿Es seguro decodificar un JWT aquí?⌄
La decodificación ocurre íntegramente en tu navegador con JavaScript. El token nunca se envía a nuestros servidores, nunca se registra y nunca se escribe en el almacenamiento del navegador. Dicho esto, un token es una credencial viva hasta que caduca, así que trátalo como una contraseña allí donde lo pegues.
¿Esto verifica la firma?⌄
No, y ninguna herramienta de navegador debería hacerlo. Verificar requiere la clave secreta o pública del emisor, que corresponde a tu servidor. Decodificar solo muestra lo que dice el token; no puede decirte si es auténtico o si ha sido manipulado.
¿Por qué aparece mi token como caducado?⌄
El claim exp es una marca de tiempo Unix en segundos, y el token deja de ser válido a partir de ese momento. El panel de estado lo convierte en una fecha real y te dice cuánto hace que pasó. Una causa habitual de caducidades sorpresa es un reloj del servidor desincronizado.
¿Puedo decodificar un token sin el secreto?⌄
Sí. La cabecera y la carga útil están codificadas, no cifradas, así que puede leerlas cualquiera que tenga el token. El secreto solo hace falta para comprobar la firma, no para leer el contenido, y por eso nunca debes poner datos sensibles en una carga útil.