Decodificador JWT
Decodifica un JWT para leer su cabecera, los claims del payload y la firma, con exp, nbf e iat como fechas y el estado de caducidad. Local, no se sube nada.
El prefijo "Bearer " se elimina automáticamente.
{
"alg": "HS256",
"typ": "JWT"
}{
"sub": "1234567890",
"name": "John Doe",
"iat": 1516239022
}| Algoritmo | HS256 |
|---|---|
| Firma | SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c |
¿Qué es Decodificador JWT?
El decodificador JWT divide un JSON Web Token en cabecera, payload y firma y muestra el JSON formateado. Los claims de tiempo (exp, nbf, iat) se convierten en fechas UTC legibles con tiempos relativos, y una etiqueta de estado indica si el token ha caducado, todavía no es válido o no tiene caducidad. Solo decodifica: no verifica la firma.
Cómo usar Decodificador JWT
- Pega el token (el prefijo
Bearerse elimina automáticamente). - Consulta la cabecera decodificada (algoritmo, tipo, ID de clave) y los claims del payload.
- Revisa el estado de caducidad y las fechas exp/nbf/iat.
- Usa el Verificador JWT con la clave correcta antes de confiar en cualquier claim.
Ejemplo
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c
Header {"alg": "HS256", "typ": "JWT"} · payload {"sub": "1234567890", "name": "John Doe", "iat": 1516239022} · status: no expiration Cuándo usar Decodificador JWT
Úsalo para depurar la autenticación: comprobar qué claims, scopes, audiencia o caducidad lleva un token. No consideres fiables los claims decodificados: cualquiera puede crear un token con contenido arbitrario. Los tokens cifrados (JWE, cinco partes) no se pueden decodificar sin la clave.
Cómo funciona Decodificador JWT
Un JWS compacto tiene tres partes Base64URL separadas por puntos. Las dos primeras se decodifican (Base64URL → bytes → UTF-8) y se analizan como JSON; la tercera se muestra tal cual porque son datos binarios de firma. Los claims de tiempo son valores NumericDate (segundos desde el 1970-01-01 UTC) y se comparan con el reloj de tu dispositivo. Nada sale de tu navegador.
Casos de Uso Comunes
- Averiguar por qué una API devuelve 401: ¿ha caducado el token o es para otra audiencia?
- Leer los roles o scopes de un token de acceso.
- Comprobar el kid de la cabecera para ver qué clave de firma se usó.
- Inspeccionar los ID tokens de un proveedor OpenID Connect.
Nota de Seguridad
La decodificación se hace solo en tu navegador. Trata los JWT como contraseñas: quien tenga un token válido puede usarlo hasta que caduque.
Preguntas Frecuentes
¿Es seguro pegar un token de producción?
El token se decodifica localmente y nunca se envía a ningún sitio. Aun así, un token válido es una credencial: revócalo si lo has compartido en algún lugar que no controlas.
¿Por qué decodificar no es verificar?
El payload solo está codificado en Base64URL, no cifrado. Verificar requiere comprobar la firma con el secreto o la clave pública.
¿Qué significan exp, nbf e iat?
exp es la hora de caducidad, nbf significa «not before» (el token no es válido antes de esa hora) e iat es la hora de emisión, todo en segundos desde la época Unix.