Decodificador JWT
Pega un JSON Web Token para leer su contenido, comprobar si ha caducado y verificar su firma.
Sellado en este dispositivo
Funciona en tu navegador. No se sube nada.
Sellado
La decodificación y la verificación se hacen en este dispositivo. El token nunca se envía a ningún sitio.
Decodificado
El header, el payload y las fechas de tu token aparecerán aquí.
Header
Payload
Claims registrados
Verificar la firma (opcional)
Primero decodifica un token. Su algoritmo indica qué clave se necesita.
PEM (-----BEGIN PUBLIC KEY-----) o JWK en JSON. Nunca pegues una clave privada en un sitio web en el que no confíes.
Cómo funciona
-
Pega el token
Pega un JWT de una cabecera Authorization, de una cookie o de tus registros. Se ignora el «Bearer» inicial.
-
Lee el contenido
El header y el payload se muestran como JSON formateado, y exp, iat y nbf se convierten en fechas de tu zona horaria.
-
Verifica si hace falta
Introduce el secreto compartido o pega la clave pública para confirmar la firma, sin que el token salga de tu dispositivo.
Preguntas frecuentes
¿Es seguro pegar aquí un token real?
El token se decodifica y se verifica en tu navegador, y nunca se envía a ningún servidor. Aun así, un token es como una contraseña temporal: evita compartirlo y revócalo si ha quedado expuesto en otro lugar.
¿Cualquiera puede leer el contenido de un JWT?
Sí. Un JWT firmado estándar solo está codificado en Base64url, no cifrado, así que cualquiera que lo tenga puede leer el payload. La firma solo demuestra que nadie lo ha modificado. Nunca pongas secretos en el payload de un JWT.
¿Por qué dice que mi token ha caducado?
El claim exp contiene la hora de caducidad, en segundos desde el 1 de enero de 1970 (UTC). Si ese momento ya ha pasado según el reloj de tu dispositivo, el token ha caducado y los servidores deberían rechazarlo.
¿Qué firmas se pueden verificar?
HMAC (HS256, HS384, HS512) con un secreto compartido, y RSA (RS256–512, PS256–512) y curva elíptica (ES256, ES384, ES512) con una clave pública en formato PEM o JWK. La verificación usa Web Crypto, integrado en tu navegador.
¿Qué significan iss, sub y aud?
Son claims estándar: iss indica quién emitió el token, sub a quién se refiere (a menudo un ID de usuario) y aud a quién va destinado. Los demás campos del payload son propios de la aplicación que creó el token.