Cómo usar Decodificador JWT
- 1
Pega el token
Pega el JWT de una cabecera Authorization, una cookie o el almacenamiento de tu aplicación; un «Bearer » inicial se ignora.
- 2
Lee los claims
Revisa las tablas del encabezado y del payload, las fechas legibles de exp, iat y nbf, y el aviso de caducidad.
- 3
Añade la clave
Introduce el secreto HMAC o pega la clave pública como PEM, certificado, JWK o JWKS.
- 4
Verifica la firma
Pulsa Verificar firma para confirmar que el token se firmó con esa clave y que no ha sido modificado.
Límites y Pro
Gratis, sin registro y sin límite en el número de tokens; la verificación admite 13 algoritmos (HS, RS, PS y ES de 256, 384 y 512 bits, además de EdDSA).
Pro quita los anuncios; la decodificación y la verificación son iguales en todos los planes. Ver Pro
Acerca de Decodificador JWT
Un JSON Web Token son tres cadenas Base64URL unidas por puntos: un encabezado que indica el algoritmo de firma, un payload con claims y una firma. Pega uno, con o sin el prefijo «Bearer », y el decodificador muestra el encabezado y el payload como una tabla legible o como JSON con formato, colorea las tres partes del token y explica campos estándar como iss, sub, aud, kid y scope.
Los claims de tiempo se convierten por ti: exp, iat, nbf y auth_time aparecen como fecha en tu zona horaria, en UTC y como tiempo relativo («caduca dentro de 2 horas», «caducó hace 3 días»). Un aviso te indica de un vistazo si el token ha caducado, aún no es válido o no tiene caducidad, y te advierte cuando exp parece estar en milisegundos en lugar de segundos.
Decodificar no demuestra nada sobre quién emitió un token, así que el verificador comprueba la firma con WebCrypto, integrado en tu navegador. HS256, HS384 y HS512 necesitan el secreto compartido (texto sin formato o Base64). Los algoritmos RS, PS y ES de 256, 384 y 512 bits, además de EdDSA con Ed25519, necesitan la clave pública, que puedes pegar como clave pública PEM, bloque RSA PUBLIC KEY, certificado X.509, un JWK suelto o un JWKS completo, donde la clave se elige según el kid del token.
La herramienta no puede descifrar tokens JWE (los de cinco partes) ni descarga URL de JWKS; abre tú mismo el jwks_uri del emisor y pega su JSON.
Privacidad
Los tokens son credenciales al portador, y esta página los trata como tales: la decodificación y la comprobación de firmas se ejecutan en tu navegador con WebCrypto, y el token, el secreto y las claves nunca se envían a un servidor, ni se registran ni se guardan. Al cerrar o recargar la pestaña se borra todo.
Características
Fechas legibles
exp, iat y nbf en tu zona horaria, en UTC y como «dentro de 2 horas» o «hace 3 días».
Verificación real de firmas
HMAC, RSA, RSA-PSS, ECDSA y Ed25519 verificados con WebCrypto frente a tu clave o JWKS.
El token no sale de tu equipo
No se sube nada, así que puedes inspeccionar tokens de producción con seguridad.