Acerca de Decodificador JWT
Un token web JSON son tres segmentos base64url unidos por puntos: una cabecera que nombra el algoritmo, una carga de afirmaciones y una firma. La cabecera y la carga solo están codificadas, no cifradas, así que cualquiera que tenga el token puede leerlas. La firma es lo que demuestra que el token vino de alguien con la clave de firma, y solo un paso de verificación real puede demostrarlo.
Este decodificador divide el token, convierte ambos segmentos JSON con un manejo correcto de UTF-8 y los imprime con sangría. También convierte exp, iat y nbf en fechas locales y las compara con tu reloj, así que un token caducado o aún no válido se ve de un vistazo. Nunca pide un secreto y nunca afirma que la firma sea válida.
Qué hace esta herramienta
Los detalles que importan cuando usas Decodificador JWT para trabajo real.
Cabecera y carga como JSON
Los dos segmentos base64url se decodifican con manejo de UTF-8 y se imprimen con sangría de dos espacios, y cada panel tiene su propio botón de copia.
Caducidad de un vistazo
Las afirmaciones exp, nbf e iat se muestran como fechas locales legibles además de cadenas ISO UTC, con etiquetas de estado caducado, válido y aún no válido.
Firma mostrada, no comprobada
El segmento de firma sin procesar y su longitud en bytes se muestran para inspección, junto a un aviso claro de que no se ha verificado nada y no se ha usado ninguna clave.
Prefijo Bearer y ajuste de línea tolerados
Los tokens copiados de una cabecera Authorization o ajustados por un terminal se limpian antes de decodificar, junto con el relleno base64url ausente.
Tokens mal formados explicados en línea
Los recuentos de segmentos incorrectos, el base64url inutilizable, el UTF-8 inválido y los segmentos que no son JSON reciben cada uno una frase concreta en lugar de un fallo genérico.
Nada sale de la pestaña
La decodificación es JavaScript simple sin petición de red, sin almacenamiento y sin bibliotecas de terceros, así que el token se queda en la memoria de la página.
Cómo usar Decodificador JWT
Sin cuenta y sin instalación: todo el trabajo ocurre en esta pestaña del navegador.
- 01
Pega el token
Copia el JWT con sus tres segmentos y pégalo en el campo; un prefijo Bearer y los saltos de línea no suponen problema.
- 02
Revisa la cabecera
El JSON de la cabecera muestra el algoritmo y el tipo de token; confirma que alg coincide con el algoritmo que espera tu servidor antes de confiar en nada más.
- 03
Lee las afirmaciones
El JSON de la carga enumera cada afirmación, y la sección de tiempos convierte exp, iat y nbf en fechas locales con una etiqueta de estado.
- 04
Copia lo que necesites
Usa el botón de copia del panel de cabecera, carga o firma para llevar ese JSON o segmento a un ticket o a un editor.
- 05
Verifícalo correctamente
Lleva el token a tu código del servidor o a una biblioteca JWT y verifica la firma con la clave de firma antes de confiar en cualquier afirmación.
Cómo funciona esta herramienta
- Trabaja con
- JWT → JSON
- Procesamiento
- En el cliente, dentro de tu navegador. No se sube nada.
- Tamaño máximo
- Limitado por la memoria disponible en tu pestaña.
- Requisitos
- Chrome, Edge, Firefox o Safari · JavaScript habilitado
Limitaciones que conviene conocer
- Solo decodificación: no se verifican firmas, emisor, audiencia ni la lista de algoritmos permitidos.
- Los tokens JWE cifrados no son compatibles; necesitan la clave de descifrado y el manejo de cinco segmentos.
- Los estados de caducidad usan el reloj de tu dispositivo e ignoran el margen del servidor, así que un token cerca de su límite exp puede discrepar con la API.
- La carga de un JWT es legible por diseño, así que esta herramienta no puede proteger un token que no deberías tener.
Privacidad y tratamiento de archivos
El token se decodifica con JavaScript dentro de esta pestaña del navegador. No se sube, almacena ni registra, y la decodificación no hace ninguna petición de red. Aun así, trata cualquier JWT como un secreto, porque un token válido puede actuar como credencial de inicio de sesión hasta que caduque.
Leer la política de privacidad completaPreguntas frecuentes sobre Decodificador JWT
Respuestas breves y directas a las dudas habituales antes de usar la herramienta.
¿Esta herramienta verifica la firma del JWT?
¿Puedo confiar en las afirmaciones que se muestran en la carga?
¿Qué significan exp, iat y nbf en un JWT?
¿Por qué mi token aparece caducado cuando la API aún lo acepta?
¿Qué es base64url y por qué mi token contiene guiones y guiones bajos?
¿Este decodificador funciona con JWT cifrados (JWE)?
¿Es seguro pegar un JWT en esta página?
¿Por qué debería revisar la cabecera alg antes de confiar en un token?
Para seguir leyendo
Guías que explican las decisiones detrás de Decodificador JWT.