Decodificador JWT — Analizar y Decodificar Tokens JSON Web
Decodifica y analiza JSON Web Tokens (JWT) con nuestro Decodificador JWT. La herramienta separa automáticamente el token en sus tres partes (encabezado, carga útil, firma) y muestra el contenido decodificado en JSON formateado. Muestra el algoritmo de firma del encabezado y comprueba el claim de expiración (exp) frente a la hora actual. Nota: esta herramienta solo decodifica tokens y no verifica firmas. La verificación necesita el secreto compartido (HS*) o la clave pública (RS*, ES*, PS*) y debe hacerse en el servidor. Todas las operaciones se realizan localmente en tu navegador.
Herramientas relacionadas
- Convertidor Punycode Convierte nombres de dominio internacionales (IDN) a Punycode ASCII y viceversa. Herramienta para transformar dominios Unicode a formato compatible con DNS.
- Codificador Base64 Codificador y decodificador Base64 para texto y archivos con soporte de arrastrar y soltar. Codificación URL-safe y vista previa en tiempo real para desarrollo.
- Codificador URL Codificador y decodificador URL para desarrolladores web. Codifica o decodifica URLs, parámetros de consulta y componentes URI con analizador integrado.
- Codificador de Entidades HTML Convierte texto a entidades HTML y viceversa. Herramienta con entidades nombradas ( ), decimales ( ) y hexadecimales ( ) para desarrollo web.
Características
- Decodifica el encabezado: muestra algoritmo (alg) y tipo de token (typ)
- Extrae la carga útil: visualiza las reclamaciones y datos de usuario
- Comprueba la caducidad: detecta automáticamente si el token expiró
- Resaltado de sintaxis: JSON coloreado para mejorar la lectura
- Visualiza la firma: muestra la firma codificada en Base64URL
- Procesamiento local: toda la lógica se ejecuta en tu navegador
Información de seguridad importante
- Decodificar ≠ verificar: esta herramienta solo decodifica el JWT. No verifica la firma.
- No confíes en tokens sin verificar: valida siempre la firma en el servidor antes de usar los datos.
- Datos sensibles: los JWT están codificados en Base64, no cifrados. Cualquiera puede leerlos.
- Claves secretas: nunca pegues claves secretas en herramientas online ni en código del lado cliente.
Para entornos de producción, utiliza bibliotecas especializadas como jsonwebtoken (Node.js), PyJWT (Python) o firebase/php-jwt (PHP).
Estructura de un JWT
Un JWT consta de tres partes codificadas en Base64URL separadas por puntos (.):
Header
Contiene metadatos del token:
alg: algoritmo (HS256, RS256...)typ: tipo de token (JWT)
Payload
Incluye las reclamaciones:
sub: sujeto (ID de usuario)exp: fecha de expiracióniat: fecha de emisión- Reclamaciones personalizadas
Signature
Verifica la integridad del token:
- HMAC (secreto compartido) o RSA/ECDSA (clave pública)
- Esta herramienta no la verifica
- Impide la manipulación
Recursos Útiles