Decodificador JWT
Pega un JSON Web Token para leer su encabezado y su carga útil, ver cuándo caduca y comprobar la firma con tu secreto o tu clave pública.
ENTRADA
SALIDA
El resultado aparece aquí mientras escribes.
Funciona por completo en tu navegador. Nada de lo que escribes se envía a ningún servidor.
Cómo decodificar un JWT
Pega el token
Copia el token de un encabezado Authorization, de una cookie o de las herramientas para desarrolladores del navegador y pégalo en el campo de entrada.
Revisa los datos
El encabezado y la carga útil aparecen como JSON formateado. Las fechas como iat y exp se muestran en tu zona horaria.
Comprueba la firma
Pega el secreto compartido (HS256) o la clave pública del emisor (RS256, ES256) para confirmar que nadie ha modificado el token.
¿Qué contiene un JWT?
Un JWT tiene tres partes codificadas en Base64URL y separadas por puntos: un encabezado que indica el algoritmo de firma, una carga útil (payload) con datos como el ID de usuario y la fecha de caducidad, y una firma. Cualquiera puede leer el encabezado y la carga útil; solo la firma demuestra quién emitió el token.
Decodificar no es verificar
Leer un token te dice lo que afirma, no si es cierto. Antes de que tu código confíe en un token, debe verificar en el servidor la firma y el campo exp.
Preguntas frecuentes
¿Es seguro pegar mi token aquí?
El token se decodifica en tu navegador y nunca se envía a un servidor. Aun así, trata los tokens activos como contraseñas: quien tenga uno puede usarlo hasta que caduque.
¿Qué algoritmos de firma se pueden verificar?
HS256, HS384 y HS512 con un secreto compartido, y RS256, PS256 y ES256, además de sus variantes de 384 y 512, con una clave pública PEM.
¿Por qué dice que mi token ha caducado?
El campo exp se compara con el reloj de tu dispositivo. Si la hora que aparece es anterior a la actual, los servidores rechazarán el token y necesitarás uno nuevo.
¿Puede decodificar tokens cifrados (JWE)?
No. Los tokens cifrados tienen cinco partes y hace falta la clave privada para leerlos. Esta herramienta decodifica tokens firmados (JWS), que son los que usan la mayoría de las API.