¿Qué es Decodificador JWT?

Pega cualquier JSON Web Token para ver su encabezado, carga útil y firma decodificados. Revisa los claims del token, verifica tiempos de expiración y depura problemas de autenticación en segundos.

El decodificador divide el token por puntos, decodifica Base64URL el header y el payload y los analiza como JSON. Verás el algoritmo de firma (HS256, RS256, EdDSA, etc.), todos los claims reservados (iss, sub, aud, exp, iat, nbf, jti) y cualquier claim personalizado del servicio. Los claims de tipo timestamp se convierten desde Unix epoch a tu zona horaria local, así detectas un token caducado de un vistazo.

Cómo usar

1. Pega tu token JWT en el campo de entrada — las tres secciones codificadas en Base64 se detectarán automáticamente.
2. Visualiza el encabezado decodificado (algoritmo, tipo) y la carga útil (claims, expiración, emisor) uno junto al otro.
3. Copia secciones decodificadas individualmente o la salida completa.

Cuándo usar

• Depurar un 401 comprobando si el exp del bearer token ya ha pasado.
• Verificar que un token emitido en staging lleve los valores correctos de aud y iss antes de pasar a producción.
• Leer el user_id o los scopes que un SSO de terceros incrusta en tu access token.

Resultado

Estás depurando un error 401 en tu API. Pega el bearer token del encabezado de la solicitud para comprobar si el claim 'exp' ya venció o si el claim 'aud' coincide con la audiencia esperada.

Preguntas frecuentes

¿La herramienta verifica la firma?

Con tokens HMAC (HS256, HS384, HS512), pega el secreto y la herramienta comprueba la firma en tu propio dispositivo. Para tokens RS y ES (RS256/384/512, ES256/384/512), pega la clave pública PEM del emisor y se verifica igual. En ambos casos, el secreto o la clave nunca sale de tu dispositivo.

¿Es seguro pegar un token real de producción?

La decodificación ocurre en tu dispositivo, el token no se envía a ningún servidor. Aun así, un bearer token concede acceso a quien lo tenga, así que el riesgo real es que alguien vea tu pantalla, no la herramienta en sí.

¿Qué significa que el campo alg diga 'none'?

Algunas librerías antiguas aceptaban tokens sin firma con alg=none, un vector de ataque conocido. Una API en producción debería rechazarlos. Si aparece 'none' en un token de autenticación, es una alerta que conviene corregir.

¿Por qué exp e iat aparecen como números y no como fechas?

Los JWT guardan los timestamps como segundos desde 1970-01-01 UTC. El decodificador añade la fecha local legible junto a cada claim para que sepas si el token ha caducado sin necesidad de hacer cálculos.

¿Puedo decodificar un token cifrado (JWE)?

Los JWE tienen cinco partes separadas por puntos y están cifrados, no solo firmados. Este decodificador lee JWS (tres partes: header.payload.signature). Para JWE necesitas la clave de descifrado, que por diseño debe quedarse en el servidor receptor.

Herramientas relacionadas