ES

Decodificar JWT

Pega un JSON Web Token para leer su header y sus claims, ver cuándo caduca y verificar la firma con un secreto o una clave pública. El token nunca sale de tu navegador.

Gratis y privado. Todo funciona en tu navegador y no se sube nada.

Cómo funciona

  1. Pega el tokenPega el JWT, con o sin el prefijo Bearer.
  2. Lee los claimsMira el header, el payload y las fechas explicados en lenguaje claro.
  3. VerificaSi quieres, escribe el secreto o la clave pública para comprobar la firma.

Seguro para tokens reales

Los depuradores de JWT online son cómodos, pero pegar un token de acceso activo en el sitio web de otra persona es arriesgado: cualquiera que lo registre puede usarlo hasta que caduque. Este decodificador funciona por completo en tu navegador. No se envía, registra ni guarda nada, así que puedes revisar tokens de producción mientras depuras la autenticación.

Las fechas de exp, iat, nbf y auth_time se muestran en tu hora local con una indicación relativa, y el estado te dice al instante si el token ha caducado.

Verificación de la firma

Para HS256, HS384 y HS512 escribe el secreto compartido. Para los algoritmos RS, PS y ES pega la clave pública en formato PEM, la que empieza por BEGIN PUBLIC KEY. La verificación usa la Web Crypto API de tu navegador. Los tokens con alg none se señalan, porque no llevan ninguna firma.

Preguntas frecuentes

¿Mi token se envía a algún sitio?

No. La decodificación y la verificación se hacen en tu navegador.

¿Puedo decodificar un token sin el secreto?

Sí. El header y el payload solo están codificados, no cifrados. El secreto solo hace falta para verificar la firma.

¿Qué algoritmos se pueden verificar?

HS256, HS384, HS512, RS256, RS384, RS512, PS256, PS384, PS512, ES256, ES384 y ES512.

¿Y los tokens cifrados (JWE)?

Los tokens cifrados tienen cinco partes y no se pueden leer sin la clave privada. La herramienta te avisa cuando pegas uno.