Decodificador JWT
Decodifica un JSON Web Token y lee su cabecera, carga útil y claims en formato legible, con comprobación instantánea de si el token ha caducado. La
Pega un JSON Web Token y lee sus tres partes en formato legible: la cabecera con el algoritmo de firma, la carga útil con los claims y las marcas de tiempo legibles de emisión, no válido antes y caducidad. La herramienta te dice al instante si el token ha caducado y cuándo lo hará.
Este es el paso de depuración de cada día cuando una API devuelve 401 y necesitas saber si el problema es la firma, la audiencia o simplemente un token caducado. Todo se decodifica en tu navegador, así que los tokens de producción nunca se envían a ningún sitio.
Cómo decodificar un JSON Web Token
Pega el token
Lee la cabecera, la carga útil y la caducidad
Copia el JSON de la carga útil si lo necesitas
Preguntas frecuentes
¿Esto verifica la firma?
No, y eso importa. La decodificación solo descodifica las partes en base64url, así que el contenido es legible pero no está demostrado como auténtico. Nunca tomes un token decodificado como de confianza hasta que tu servidor haya verificado la firma.
¿Cómo sé si el token ha caducado?
El claim exp es una marca de tiempo Unix en segundos y la herramienta la compara con la hora actual, mostrando la fecha y si el token sigue siendo válido.
¿Cuál es la diferencia entre exp, iat y nbf?
iat es cuándo se emitió el token, nbf es el momento más temprano en que se puede usar y exp es cuándo deja de ser válido. Un token solo es aceptable entre nbf y exp.
¿Es seguro pegar aquí un token real?
La decodificación ocurre por completo en tu navegador, así que el token no se transmite. De todos modos, trata cualquier token como una credencial: no lo pegues en un sitio en el que no confíes y rótalo si puede haberse filtrado.
¿Por qué mi token muestra un error?
Un JWT tiene exactamente tres partes separadas por puntos. Si falta una parte, hay un salto de línea en medio o el token es en realidad un identificador de sesión opaco, se indicará que no es un JWT.
¿Se sube mi token?
No, la decodificación es local.
De un vistazo
| Entrada | texto |
|---|---|
| Varios archivos | No |
| Dónde se ejecuta | En tu navegador: los archivos no se suben nunca |
| Funciona sin conexión | Sí — una vez cargada la página |
| Precio | Gratis, sin registro y sin marca de agua |
Manejar secretos con seguridad
Las herramientas de desarrollo procesan credenciales más a menudo de lo que la gente cree, y el riesgo no está en el algoritmo, sino en adónde van los datos. El hashing es unidireccional y no es cifrado: MD5 y SHA-1 están rotos para cualquier cosa relacionada con la seguridad, y ni siquiera SHA-256 es la herramienta adecuada para guardar contraseñas, para lo que existen bcrypt, scrypt o Argon2 precisamente por ser lentos. Base64 es una codificación, no una protección: cualquiera puede descodificarla, así que no la trates nunca como ofuscación. Un JWT lo puede leer cualquiera que lo tenga, por eso la carga útil nunca debe contener secretos, y descodificar un token no verifica su firma: la verificación requiere la clave. Todo en este sitio se ejecuta localmente en tu navegador, que es la razón por la que puede manejar tokens y contraseñas con seguridad.
Dónde se rompen las conversiones sin hacer ruido
La mayoría de los errores de conversión no tienen que ver con la sintaxis, sino con el significado. Una columna CSV de códigos postales pierde sus ceros iniciales en el momento en que una hoja de cálculo supone que es un número; un ID largo supera la precisión de coma flotante; las fechas cambian de significado según si van con el día primero o el mes primero. Las claves de JSON no tienen orden, pero los arrays no, y una herramienta que ordena claves no cambia nada, mientras que una que ordena arrays cambia los datos. Unicode es otra trampa: el texto puede llegar como UTF-8, como UTF-16 o con BOM, y un decodificador que adivina mal convierte los caracteres acentuados en «Mojibake». Antes de fiarte de cualquier conversión, revisa la primera y la última fila, cualquier campo con ceros iniciales y cualquier campo que contenga comillas, comas o saltos de línea.