Decodifica JSON Web Tokens
Un JSON Web Token (JWT) transporta declaraciones (claims) sobre un usuario o una sesión en tres partes: un encabezado, un payload y una firma, cada una codificada en Base64URL y separadas por puntos. Pega un token para ver su encabezado y su payload como JSON formateado, y cuándo se emitió y cuándo caduca, en tu hora local.
En los tokens firmados con un secreto compartido (HS256, HS384, HS512) puedes introducir el secreto para comprobar que la firma es válida. La decodificación se realiza íntegramente en tu navegador, así que los tokens —que a menudo dan acceso a cuentas— nunca se envían a ninguna parte.
¿Por qué usar este decodificador JWT?
- Encabezado y payload como JSON formateado
- Caducidad, emisión e inicio de validez en tu hora local
- Verificación de firmas HS256, HS384 y HS512
- Privado: el token nunca sale de tu navegador
Cómo decodificar un JWT
- Pega el token en el campo: el prefijo “Bearer ” se elimina automáticamente
- Consulta el encabezado, el payload y la caducidad
- Opcionalmente, introduce el secreto para verificar una firma HMAC
Preguntas frecuentes
¿Este decodificador JWT es gratuito?
Sí, es completamente gratuito y no tiene límites.
¿El payload de un JWT está cifrado?
No. Un JWT normal (firmado) solo está codificado: cualquiera que tenga el token puede leer su payload. La firma solo demuestra que el token no se ha modificado, así que nunca pongas secretos en el payload de un JWT.
¿Qué firmas se pueden verificar?
Las firmas HMAC (HS256, HS384, HS512), usando la clave secreta. Los tokens firmados con RS256, ES256 y otros algoritmos de clave pública se decodifican, pero su firma no se comprueba aquí.
¿Es seguro pegar aquí un token real?
El token y el secreto se procesan solo en tu navegador y nunca se envían a nuestro servidor. Aun así, trata los tokens de producción como contraseñas y pégalos solo en dispositivos de confianza.