Decodificador JWT
Pega cualquier JSON Web Token para decodificar su cabecera y payload, inspeccionar claims estándar, comprobar la expiración y verificar opcionalmente la firma. Todo se ejecuta en tu navegador — tu token nunca sale de tu dispositivo.
Token JWT
Cabecera
—Payload
—Firma
No se envía nada a nuestros servidores. Toda la decodificación y verificación ocurre completamente en tu navegador.
Verificar Firma
La verificación de firma es compatible únicamente con tokens HS256. Introduce el secret HMAC utilizado para firmar este token.
Cómo usar esta herramienta
- Pega tu JWT en el área de texto — se decodificará al instante.
- Inspecciona el panel Header para ver el algoritmo de firma y el tipo de token.
- Lee el panel Payload para ver todos los claims. Si el token tiene un campo 'exp', un indicador mostrará si sigue siendo válido.
- Para verificar una firma HS256, introduce el secret en la sección Verificar Firma y haz clic en Verificar.
- Usa el botón Copiar en cada panel para copiar el JSON decodificado al portapapeles.
¿Por qué usar nuestro Decodificador JWT?
Depurar la autenticación JWT es una tarea habitual en el desarrollo, pero pegar tokens en sitios de terceros conlleva riesgos. Este decodificador se ejecuta completamente en tu navegador — ningún dato se transmite. Úsalo con seguridad incluso con tokens de producción durante la depuración local o revisiones de seguridad.
Preguntas frecuentes
¿Qué es un JWT?
Un JSON Web Token (JWT) es una cadena compacta y segura para URLs que se utiliza para transmitir información entre partes de forma segura. Consta de tres secciones codificadas en base64url separadas por puntos: Header (algoritmo y tipo), Payload (claims como ID de usuario, roles y expiración) y Signature para verificar la autenticidad.
¿Están cifrados los JWT?
Por defecto, no. Los JWT estándar (JWS — JSON Web Signature) están firmados pero no cifrados, lo que significa que la cabecera y el payload son legibles por cualquiera que tenga el token. Si necesitas confidencialidad, usa JWE (JSON Web Encryption). Nunca incluyas información sensible — contraseñas, números de tarjeta — en el payload de un JWT estándar.
¿Qué significa 'alg: none' y por qué es peligroso?
El valor 'alg: none' en la cabecera JWT significa que el token no tiene firma. Algunos servidores han aceptado estos tokens como válidos, permitiendo a atacantes falsificar payloads arbitrarios. Esta es una vulnerabilidad conocida (CVE-2015-9235). Un servidor correctamente implementado siempre debe rechazar tokens con 'alg: none'.
¿Cómo verifico una firma JWT con esta herramienta?
Para tokens HS256, introduce el secret HMAC en la sección Verificar Firma y haz clic en Verificar. La herramienta recalcula la firma esperada en el navegador y la compara con la del token. RS256 y otros algoritmos asimétricos no están soportados — usa una biblioteca del lado del servidor para esos casos.
¿Cuáles son los claims JWT más comunes?
'iss' (issuer) identifica quién emitió el token. 'sub' (subject) identifica al principal — generalmente un ID de usuario. 'exp' (expiration time) es un timestamp Unix tras el cual el token debe rechazarse. 'iat' (issued at) registra cuándo se creó el token. 'nbf' (not before) establece el momento más temprano en que el token es válido. 'aud' (audience) identifica a los destinatarios previstos.
Herramientas relacionadas
Generador de Hash
Genera hashes MD5, SHA-1, SHA-256 y SHA-512 a partir de texto o archivos en tu navegador.
Base64 Encoder / Decoder
Encode and decode Base64 text quickly and easily.
Codificador / Decodificador de URL
Codifica URLs al formato percent-encoded o decodifica URLs codificadas de vuelta a texto legible.
Comparador de Texto
Compara dos textos y resalta adiciones y eliminaciones línea por línea.
Herramientas visitadas recientemente
Cron Expression Builder
DeveloperBuild, test, and understand cron expressions with a visual builder and next run times.
CSS Gradient Generator
DeveloperCreate linear, radial and conic CSS gradients with a live visual editor. Copy the CSS code instantly.
Regex Tester
DeveloperTest and debug regular expressions with real-time match highlighting, group capture, and substitution.