Decodificador de JWT (JSON Web Token)
Pega un JWT y ve su cabecera y su contenido en JSON legible, con las fechas de emisión y caducidad explicadas y el estado del token (vigente, caducado o aún no válido). Si es un token HMAC puedes comprobar la firma con tu secreto. Todo ocurre en tu navegador: el token y el secreto no se envían a ningún sitio.
Procesado 100% en tu navegador
Decodificar no es verificar: cualquiera puede leer un JWT. Todo se hace en tu navegador y el token no se envía a ningún sitio.
Pega un token para decodificarlo.
Ctrl + Enter ejecutarCtrl + C copiar resultado
Cómo usar
- 1Copia el token (también vale con el prefijo «Bearer ») y pégalo en el cuadro.
- 2Lee la cabecera, el payload y las fechas exp, iat y nbf, con su estado.
- 3Si quieres comprobar la firma de un token HS256, HS384 o HS512, escribe el secreto.
- 4Copia el JSON de la cabecera o del payload con los botones.
Casos de uso
- Depurar por qué una API rechaza un token: caducado, audiencia incorrecta o permisos que faltan.
- Revisar qué datos (claims) incluye un token antes de usarlo en una integración.
- Comprobar la fecha de caducidad de un token de acceso o de refresco.
- Verificar localmente que un token firmado con HMAC no ha sido alterado.
Preguntas frecuentes
¿Decodificar un JWT es lo mismo que verificarlo?
No. Cualquiera puede leer el contenido de un JWT porque solo está codificado en Base64URL. La verificación comprueba la firma y exige la clave; sin ella no puedes saber si el token es auténtico.
¿Es seguro pegar aquí mi token?
El token se decodifica en tu navegador y no se envía a ningún servidor ni se guarda. Aun así, no pegues tokens de producción con permisos sensibles en sitios que no controlas.
¿Qué algoritmos puedo verificar?
HS256, HS384 y HS512, que usan un secreto compartido. Los tokens RS256, ES256 y similares se firman con una clave privada y se verifican con la pública, que esta herramienta no pide.
¿Qué significan exp, iat y nbf?
exp es el instante de caducidad, iat cuándo se emitió y nbf desde cuándo es válido. Son segundos desde 1970 (hora Unix) y aquí los verás también como fecha legible.
¿Qué es alg: none?
Un token sin firma. Es un riesgo de seguridad si un servidor lo acepta, por eso la herramienta te avisa cuando lo ve.