Decodificador JWT
Decodifica JSON Web Tokens, inspecciona el header y los claims del payload, comprueba la caducidad y verifica firmas de forma privada.
Header
Payload
Claims
| Claim | Valor | Significado |
|---|
Verificar firma
Decodificar no demuestra que un token sea auténtico. Introduce el secreto o la clave pública para verificar la firma localmente en tu navegador.
100 % privado: todo se ejecuta en tu navegador y no se sube nada.
Cómo decodificar un JWT
Sin registro ni instalación: funciona directamente en tu navegador.
- Paso 1:Pega el token en el cuadro de entrada (el prefijo Bearer se elimina automáticamente) o haz clic en Cargar ejemplo.
- Paso 2:Lee el header y el payload decodificados, la tabla de claims y las etiquetas de estado de caducidad.
- Paso 3:Opcionalmente, introduce el secreto HMAC o la clave pública PEM y pulsa Verificar firma para confirmar que el token es auténtico.
Preguntas frecuentes sobre el decodificador JWT
¿Es seguro pegar un JWT en un decodificador online?
Con esta herramienta, sí: la decodificación y la verificación se ejecutan por completo en tu navegador y el token nunca se sube. Aun así, trata los tokens de producción como contraseñas y no los compartas en tickets, chats o capturas.
¿Decodificar un JWT lo verifica?
No. Cualquiera puede decodificar un JWT porque el header y el payload solo están codificados en Base64URL, no cifrados. Solo la verificación de la firma con el secreto o la clave pública correctos demuestra que el token es auténtico y no se ha modificado.
¿Cómo compruebo si un JWT ha caducado?
Mira el claim exp, un timestamp Unix en segundos. El decodificador lo convierte a tu fecha y hora local y muestra una etiqueta de Caducado o No caducado, junto con nbf (no antes de) e iat (emitido en).
¿Qué algoritmos de firma se pueden verificar?
HS256, HS384 y HS512 con un secreto compartido, y RS256/384/512, PS256/384/512 y ES256/384/512 con una clave pública en formato PEM, usando la Web Crypto API integrada en el navegador.
¿Qué diferencia hay entre JWS y JWE?
Un JWS (tres partes) está firmado: su contenido se puede leer pero no manipular. Un JWE (cinco partes) está cifrado, así que su payload no puede leerse sin la clave de descifrado. Esta herramienta decodifica tokens JWS, que son los usados en la mayoría de tokens de acceso e ID.
Herramientas Relacionadas
¿Qué es un JWT y cómo se decodifica?
Un JSON Web Token (JWT) es una cadena compacta y segura para URL que usan OAuth 2.0, OpenID Connect y la mayoría de las APIs modernas para transportar datos de identidad y autorización. Tiene tres partes codificadas en Base64URL separadas por puntos: un header que indica el algoritmo de firma, un payload con claims como sub, iss, aud, iat y exp, y una firma que demuestra que el token no ha sido manipulado. Decodificar un JWT consiste simplemente en decodificar en Base64URL las dos primeras partes para leer el JSON que contienen, justo lo que necesitas al depurar flujos de login, gateways de API, sesiones caducadas o problemas de permisos.
Este decodificador JWT gratuito muestra el header y el payload como JSON formateado, explica cada claim estándar, convierte timestamps como exp, nbf e iat en fechas locales legibles y te indica de un vistazo si el token es válido, ha caducado o aún no está activo. También señala los tokens inseguros con alg none y puede verificar la firma con un secreto HMAC (HS256, HS384, HS512) o una clave pública PEM (RS256, PS256, ES256 y variantes más fuertes) mediante la Web Crypto API del navegador. Los tokens se procesan íntegramente en tu dispositivo —nunca se envían a nuestros servidores—, así que puedes inspeccionar tokens de acceso e ID reales con seguridad.