Decodificador de JWT
Decodifica un JWT en su cabecera, carga útil y claims, detecta problemas de seguridad (alg:none, caducado, sin exp) y verifica la firma en tu navegador.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Un decodificador de JWT en el navegador: pega un JSON Web Token y obtén su cabecera, su carga útil y su firma separadas en tres paneles, con el JSON formateado. Los claims estándar se muestran de forma legible: exp, iat y nbf con la hora UTC absoluta y una expresión relativa («caducó hace 3 h» / «caduca en 20 min»), junto a alg, typ, kid, iss, aud y sub. Las comprobaciones de seguridad señalan los errores habituales: alg «none», un token caducado, la falta de exp y el riesgo del secreto compartido en la familia HS*. La verificación opcional de la firma funciona por completo en tu navegador con la Web Crypto API: HMAC para HS256/384/512 con un secreto, y RSA/ECDSA para RS*/PS*/ES* con una clave pública PEM. Nada de lo que pegas (token, secreto o clave) se envía nunca a un servidor; no hay peticiones de red. Es una herramienta Pro: con una cuenta gratuita tienes 3 usos y después necesitas Pro.
- Pega un JSON Web Token.
- Lee la cabecera, la carga útil y la firma, y los claims convertidos a fechas legibles.
- Revisa los avisos de seguridad: alg «none», token caducado, falta de exp, riesgo de HS*.
- Si quieres, verifica la firma con el secreto compartido (HS*) o con la clave pública PEM (RS*/PS*/ES*).
Preguntas frecuentes
¿Qué es un JWT?
Un JWT es una forma compacta y apta para URL de representar claims entre dos partes. Tiene tres partes separadas por puntos: una cabecera, una carga útil y una firma. La cabecera y la carga útil son objetos JSON codificados en base64url; la firma se obtiene firmando con una clave la cadena formada por la cabecera y la carga útil. Los JWT se usan habitualmente como tokens de acceso o de identidad en OAuth 2.0 y OpenID Connect: un servidor emite uno tras el inicio de sesión y el cliente lo devuelve en cada petición para que el servidor pueda confiar en quién llama sin consultar una base de datos.
¿Un JWT está cifrado?
No. Un JWT estándar (un JWS) está firmado, no cifrado. La carga útil solo está codificada en base64url, algo que cualquiera puede revertir, así que todos los claims son legibles para quien tenga el token. La firma protege la integridad y el origen (demuestra que el token no se alteró y que lo emitió quien firma), pero no oculta el contenido. Nunca pongas secretos ni datos personales sensibles en la carga útil de un JWT y trata un token capturado como completamente legible. Si necesitas ocultar el contenido, usa JWE (JWT cifrado).
¿Es seguro usar este decodificador de JWT?
Sí. La decodificación y la verificación de la firma ocurren por completo en tu navegador con JavaScript y la Web Crypto API: el token y cualquier secreto o clave pública que pegues nunca se transmiten, y la página no hace ninguna petición de red para procesarlos. Aun así, como hábito general, evita pegar tokens de producción en sitios web en los que no confíes: como un JWT es legible, un sitio malicioso podría capturarlo y reutilizarlo. Para máxima cautela con un token activo, usa el decodificador con un token que puedas permitirte exponer o inspecciónalo sin conexión.
¿Qué diferencia hay entre decodificar y verificar un JWT?
Decodificar solo deshace la codificación base64url de la cabecera y la carga útil para que puedas leer los claims: no necesita clave y no te dice nada sobre si el token es auténtico. Verificar comprueba la firma con una clave: para HS256/384/512 aportas el secreto compartido y la herramienta recalcula el HMAC; para RS256, ES256 y similares aportas la clave pública de quien firma. Una firma válida significa que el token lo produjo alguien que tiene la clave y que no se ha manipulado. La verificación sigue sin comprobar la caducidad ni la audiencia: una comprobación completa en el servidor verifica la firma y después valida exp, nbf, aud e iss.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba; después necesitas Pro.