Decodificador de JWT
Pega un token JWT para ver su cabecera, su contenido y cuándo caduca, explicado en español.
Tu token no sale de tu equipo: se decodifica en tu navegador. Aun así, evita pegar tokens de producción en webs que no conoces.
Lee tokens firmados (JWS). Los cifrados (JWE) no se pueden leer sin la clave. La firma solo se puede verificar con algoritmos HMAC (HS256, HS384 y HS512).
Qué es un JWT
Un JSON Web Token (JWT) es una credencial que usan muchas aplicaciones para saber quién eres después de iniciar sesión. Tiene tres partes separadas por puntos: la cabecera (algoritmo de firma), el contenido o payload (los datos o claims) y la firma, que garantiza que nadie lo modificó.
Los datos más comunes
exp: cuándo caduca el token.iat: cuándo se emitió.nbf: desde cuándo es válido.sub: a quién pertenece, normalmente el identificador del usuario.issyaud: quién lo emitió y para qué aplicación es.
Un JWT no es secreto
El contenido solo está codificado en Base64, no cifrado: cualquiera que tenga el token puede leerlo. Por eso nunca debe llevar contraseñas ni datos sensibles. La seguridad está en la firma: sin la clave, nadie puede crear o modificar un token válido.
Preguntas frecuentes
¿Cómo leo el contenido de un JWT?
Pega el token en el recuadro: verás al instante la cabecera, el contenido y una explicación de cada dato, con las fechas en tu hora local.
¿Cómo sé si mi token está caducado?
Mira el aviso de arriba: indica si el token está vigente, caducado o todavía no es válido, y cuánto tiempo falta o pasó, según el campo exp.
¿Puedo verificar la firma?
Sí, si usa HS256, HS384 o HS512: escribe la clave secreta y la herramienta te dirá si la firma coincide. La clave tampoco sale de tu navegador.
¿Es seguro pegar mi token aquí?
El token se procesa solo en tu navegador y no se envía. Aun así, un token válido da acceso a tu cuenta mientras no caduque: trátalo como una contraseña.
¿Qué significa alg «none»?
Que el token no tiene firma. Cualquiera podría falsificarlo, así que ningún servidor serio debería aceptarlo.