Decodificador JWT — decodifica y verifica firmas
Decodifica el header y el payload de un JWT, ve exp/iat como fechas legibles con insignia de caducado y verifica firmas HS, RS, PS, ES y EdDSA en tu navegador.
🔒 Se ejecuta completamente en tu navegador — nada se subeQué hace el Decodificador JWT
El Decodificador JWT divide un JSON Web Token en sus tres segmentos separados por puntos, decodifica en base64url el header y el payload y muestra esos objetos JSON con formato legible. Es útil al depurar flujos de inicio de sesión, cabeceras de autorización de API, callbacks de OAuth, el comportamiento de los refresh tokens y pruebas que dependen de claims como el sujeto, el emisor, la audiencia, la hora de emisión y la hora de caducidad. Cada claim aparece en una tabla con su significado estándar, y los claims de tiempo se convierten por ti.
La herramienta también puede verificar la firma. Los tokens HMAC (HS256, HS384, HS512) necesitan el secreto compartido, que puedes pegar como texto plano o Base64. Los tokens asimétricos (RS256, PS256, ES256, sus variantes de 384/512 y EdDSA) necesitan la clave pública del emisor, como un bloque PEM PUBLIC KEY o un único JWK del endpoint JWKS del proveedor. Un resultado en verde significa que el token se firmó con esa clave y no se ha modificado; un resultado en rojo significa que la clave es incorrecta o que el token fue manipulado. Los tokens que usan alg: none se marcan como no firmados.
Flujo de trabajo privado en el navegador
Todo el procesamiento se realiza con JavaScript en el navegador y la Web Crypto API. La herramienta no sube a ningún servidor tus tokens, secretos, claves, URL ni valores generados, y no requiere cuenta. Este modelo de privacidad es importante porque las utilidades pequeñas suelen recibir respuestas reales de API, muestras de configuración, registros, datos de autenticación o ejemplos con forma de datos de clientes durante la resolución de problemas. Trabajar en local reduce el riesgo y hace que la herramienta sea instantánea, porque no hay viaje por la red.
Cómo leer la salida decodificada
Los claims estándar que verás con más frecuencia son iss (emisor), sub (sujeto), aud (audiencia), exp (caducidad), nbf (no válido antes de) e iat (emitido en). Los claims de tiempo son marcas de tiempo Unix en segundos; la tabla de claims muestra cada uno como una fecha UTC ISO 8601 más un tiempo relativo como «en 2 horas» o «hace 3 días», y la línea de estado te indica de un vistazo si el token es válido, ha caducado o todavía no es válido.
El decodificador espera exactamente tres segmentos separados por puntos; cualquier otra cosa produce un error de decodificación. Los tokens cifrados (JWE) tienen cinco segmentos y no se pueden leer sin la clave, y un segmento que no sea JSON base64url válido también fallará. Una firma válida demuestra quién emitió el token, pero tu aplicación debe seguir comprobando el emisor, la audiencia y la caducidad. Trata los tokens activos como contraseñas: aunque aquí nada sale de tu navegador, evita pegar tokens de producción en herramientas en las que no confíes o compartir públicamente la salida decodificada.
Cómo usar
- Pega el tokenAñade un JWT con tres segmentos separados por puntos; un prefijo Bearer inicial se ignora.
- Lee los claimsRevisa el header, el payload, la tabla de claims y el estado de caducidad.
- Verifica la firmaPega el secreto o la clave pública y haz clic en Verify signature.