Decodificador de JWT

Los JSON Web Tokens (JWT) viajan en las cabeceras de miles de APIs, pero a simple vista son una cadena ilegible. Este decodificador separa las tres partes del token y muestra el encabezado y el contenido como JSON formateado. Convierte las fechas exp, iat y nbf a formato legible y te dice si el token ya expiró. Además puede verificar la firma de los tokens HMAC (HS256, HS384 y HS512) con tu clave secreta. Todo ocurre en tu navegador: el token nunca sale de tu equipo.

Cómo usar

1. 1

   Pega el token JWT; también acepta el prefijo «Bearer»

2. 2

   Revisa el encabezado y el payload decodificados, con botón para copiar cada uno

3. 3

   Consulta la tabla de claims con las fechas en formato legible y el estado de expiración

4. 4

   Si el algoritmo es HMAC, escribe la clave secreta para verificar la firma

Beneficios

• Decodifica header y payload con JSON formateado
• Resalta las tres partes del token con colores
• Convierte exp, iat y nbf a fecha y hora locales
• Indica si el token está vigente o expirado
• Verifica firmas HS256, HS384 y HS512 con Web Crypto
• 100% local: el token no se envía a ningún servidor

Cómo está formado un JWT

Un JWT, definido en el estándar RFC 7519, tiene tres partes separadas por puntos: encabezado, contenido (payload) y firma. Las dos primeras son objetos JSON codificados en Base64URL, una variante de Base64 que sustituye + y / por - y _ y omite el relleno =. El encabezado indica el algoritmo de firma, como HS256 o RS256. El payload contiene los claims: datos sobre el usuario y el token. La firma se calcula sobre el encabezado y el payload con una clave, y permite detectar cualquier modificación.

Claims estándar

El estándar define claims registrados de tres letras: iss (emisor), sub (sujeto, normalmente el ID del usuario), aud (audiencia), exp (expiración), nbf (no válido antes de), iat (emitido en) y jti (identificador único). Las fechas se expresan en segundos desde el 1 de enero de 1970 en UTC, el llamado tiempo Unix, por eso son números como 1767225600. El decodificador las traduce a tu hora local y compara exp con la hora actual.

Decodificar no es verificar

Cualquiera puede decodificar un JWT: el payload no está cifrado, solo codificado. Por eso nunca debes guardar contraseñas ni datos sensibles en un token. Lo que garantiza la integridad es la firma: un servidor debe verificarla antes de confiar en el contenido. Con algoritmos HMAC (HS256, HS384, HS512), emisor y receptor comparten una clave secreta, y esta herramienta puede comprobarla. Con algoritmos asimétricos como RS256 o ES256 se necesita la clave pública del emisor.

Seguridad al depurar tokens

Un token de acceso vigente funciona como una llave temporal: quien lo tenga puede usarlo hasta que expire. Evita pegar tokens de producción en herramientas que los envían a un servidor. Este decodificador trabaja por completo en tu navegador con JavaScript y la API Web Crypto, así que puedes usarlo sin ese riesgo. Aun así, lo más seguro es depurar con tokens de desarrollo o de corta duración.