Decodificar JWT
Lee la cabecera y el contenido de un token JWT en tu navegador, sin enviarlo a ningún servidor.
Tus archivos se procesan aquí, en tu dispositivo
No enviamos el contenido de tus archivos o textos a un servidor de procesamiento. No necesitas una cuenta y no hay un cupo diario de operaciones. Cada herramienta tiene límites de tamaño para cuidar la memoria de tu dispositivo.
Necesitas conexión para cargar el sitio y sus recursos. El alojamiento puede recibir datos técnicos de las visitas. Los favoritos guardan solo identificadores de herramientas en este navegador.
Cómo tratamos tus datos →Cómo usar esta herramienta
- Pega el token completo, con sus tres partes.
- Decodifica y revisa cabecera y contenido.
- Comprueba la caducidad y recuerda que la firma no se verifica.
Un ejemplo que puedes comprobar
Lee el contenido de un token JWT sin enviarlo a ningún servidor.
Datos de ejemplo
Un token de ejemplo con nombre, fecha de emisión y caducidad.
Resultado esperado
La cabecera, el contenido en JSON y los datos clave: algoritmo, emisión, caducidad y estado.
Decodificar no valida el token. Para confiar en él, verifica su firma en tu servidor con la clave del emisor.
Decodificar JWT: usos y recomendaciones
Un JWT (JSON Web Token) es una cadena con tres partes separadas por puntos: cabecera, contenido y firma. Las dos primeras son JSON codificado en Base64URL, no cifrado, de modo que cualquiera que tenga el token puede leerlas. Por eso un JWT no debe contener secretos como contraseñas. Esta herramienta decodifica ambas partes en tu navegador y las muestra con formato, junto con el algoritmo declarado y las fechas de emisión y caducidad en UTC.
Decodificar no es validar. La firma garantiza que el contenido no fue modificado y que lo emitió quien posee la clave, pero comprobarlo exige esa clave y se hace en el servidor que recibe el token. Un token con una firma incorrecta se decodifica igual. Por tanto, la información mostrada sirve para depurar y entender una integración, no para decidir si una petición es de confianza.
El estado indica si la fecha de caducidad ya pasó con respecto al reloj de tu dispositivo. Un token puede no tener caducidad, o tener una fecha de inicio de validez futura. Aunque todo se procesa localmente, trata con cuidado los tokens reales: pegarlos en un chat, un documento compartido o un sitio externo puede dar acceso a quien los vea. Si dudas, usa un token de prueba y revoca el que hayas expuesto.
Al depurar una integración, empieza por el algoritmo y las fechas. Un algoritmo inesperado, como none, es una señal de alerta en cualquier sistema que reciba tokens. Si un token se rechaza, compara su caducidad con la hora del servidor, porque un reloj desajustado explica muchos fallos intermitentes. Comprueba también el emisor y la audiencia, que deben coincidir con lo que tu servicio espera. Cuando compartas un ejemplo en una incidencia, sustituye los datos personales y la firma por valores ficticios: un token real, aunque haya caducado, puede revelar identificadores internos.
Una comprobación práctica antes de utilizar el resultado
Cambia una letra de la firma del token de ejemplo: debe decodificarse igual, lo que demuestra que la herramienta no verifica firmas. Cambia una letra del contenido y comprueba cómo cambia el JSON o aparece un error de formato.
Opciones y límites
Pega un token con sus tres partes separadas por puntos (se admite el prefijo Bearer). Se decodifican la cabecera y el contenido, y se muestran el algoritmo, la fecha de emisión, la caducidad y si ya ha vencido. La firma no se verifica: leer un token no demuestra que sea auténtico. Todo ocurre en tu dispositivo.
Preguntas frecuentes
¿Comprueba que el token es válido?
No. Decodificar solo lee datos codificados en Base64URL. Para saber si el token es auténtico hay que verificar su firma con la clave del emisor en tu servidor.