Decodificador JWT
Decodifica e inspecciona JSON Web Tokens (cabecera, carga útil, firma, reclamaciones, expiración y avisos de seguridad) de forma segura en tu navegador.
¿Qué contiene un JWT?
Un JSON Web Token (JWT) son tres partes codificadas en Base64URL separadas por puntos —una cabecera que describe el algoritmo de firma, una carga útil (payload) con reclamaciones (claims) como el ID de usuario o la fecha de expiración, y una firma. Esta herramienta decodifica y muestra las tres partes para que puedas inspeccionar el contenido de un token.
Cómo usar el decodificador de JWT
- Pega un JWT en el campo de entrada.
- La cabecera y la carga útil se decodifican y se muestran automáticamente.
- Revisa valores de reclamaciones como la expiración (exp), la fecha de emisión (iat) y el sujeto (sub), junto con el algoritmo de firma.
- Comprueba el indicador de estado de expiración para ver si el token sigue siendo válido, está a punto de expirar o ya ha expirado.
Notas técnicas
- Esta herramienta decodifica un JWT —no verifica la firma. Decodificar solo revela lo que un token afirma; verificar que un token es auténtico y no ha sido alterado requiere comprobar su firma con el secreto o la clave pública correctos, algo que esta herramienta no hace intencionadamente.
- Como la cabecera y la carga útil de un JWT solo están codificadas (no cifradas), cualquiera que tenga el token puede leer su contenido —nunca pongas secretos dentro de la carga útil de un JWT.
- Un token con alg establecido en "none" no tiene ninguna firma y nunca debe considerarse auténtico por ningún sistema.
Preguntas frecuentes
¿Esta herramienta verifica que un JWT sea auténtico?+
No. Decodifica y muestra la cabecera, el contenido y las reclamaciones, y señala la expiración y alg=none, pero no comprueba la firma. Un token decodificado solo muestra lo que afirma; demostrar que es genuino requiere verificar la firma con la clave secreta o pública del emisor en tu servidor.
¿El contenido de un JWT está cifrado?+
No. La cabecera y el contenido solo están codificados en Base64URL, así que cualquiera que tenga el token puede leerlos. Nunca pongas contraseñas, secretos ni datos personales sensibles en el contenido de un JWT.
¿Qué significa "alg": "none" en un token?+
Significa que el token no lleva ninguna firma. Un token así no ofrece ninguna garantía de integridad ni de autenticidad y debe ser rechazado por cualquier sistema que use JWT para autenticación.