Decodificador de JWT: decodifica JSON Web Tokens y comprueba la caducidad en línea

Pega el JWT codificado (la larga cadena eyJ…) en el cuadro de entrada. La herramienta lo divide por los dos puntos, decodifica en Base64URL el encabezado y el payload y muestra el JSON de cada uno más el segmento de firma en bruto, todo sin realizar ninguna solicitud de red.

No. El decodificador solo analiza el token; no comprueba la firma contra una clave secreta o pública, porque la verificación requiere el material de clave del emisor. Usa una biblioteca JWT del lado del servidor para la verificación en producción; esta herramienta es para inspección y depuración.

Obtienes la cabecera (algoritmo e identificador de clave), las reclamaciones del payload (sub, iss, aud, iat, exp y cualquier reclamación personalizada) y la firma en bruto. Las reclamaciones de marca temporal estándar se formatean como fechas legibles para que puedas detectar tokens caducados de un vistazo.

Si el payload contiene el claim estándar "exp", la herramienta lo compara con la hora actual y muestra «Válido hasta» o «Token caducado el» con la marca de tiempo exacta. Los tokens sin un claim exp se indican como sin caducidad.

Cualquiera que lea el contenido de un JWT puede usarlo hasta que caduque, así que los tokens de producción deben mantenerse en herramientas privadas. Este decodificador funciona por completo en tu navegador y nunca transmite el token, pero la regla más segura es decodificar siempre que sea posible tokens de desarrollo de corta duración.

Un JWT tiene tres segmentos codificados en Base64URL separados por puntos: header (el algoritmo de firma), payload (las claims que el emisor quiere que el verificador acepte) y signature (un MAC o firma digital sobre header.payload). La decodificación nunca necesita una clave; solo la verificación la requiere.

Un token compacto y seguro para URL formado por tres segmentos Base64URL —cabecera, carga útil y firma— que transporta datos firmados como un ID de usuario y una fecha de caducidad. Se usa mucho para sesiones de inicio de sesión sin estado y para proteger peticiones de API. Pega uno arriba para inspeccionar su cabecera y su carga útil.

Debajo del encabezado y la carga útil decodificados, pega el secreto de firma (para HS256) o la clave pública del emisor en formato PEM o JWK (para RS256, ES256 y similares) en el recuadro Verificar firma y luego haz clic en Verificar. La insignia que aparece indica si la firma es válida, no válida o usa un algoritmo que el verificador del navegador no admite, todo calculado localmente, sin enviar el token ni la clave a ningún sitio.

For HMAC algorithms like HS256 you paste the raw shared secret string. For asymmetric algorithms like RS256, RS384 or ES256 you need the issuer's public key — never the private key — supplied as a PEM block or a JWK; pasting the wrong half of an asymmetric key pair will make verification fail even though the token is valid.

The Verify signature panel supports every mainstream JOSE algorithm: HS256/384/512 (HMAC with a shared secret), RS256/384/512 (RSASSA-PKCS1-v1_5 with an RSA public key), PS256/384/512 (RSA-PSS with an RSA public key) and ES256/384/512 (ECDSA over the matching P-256/P-384/P-521 curve). Tokens signed with "none" or any algorithm outside this list are always reported as unsupported rather than marked valid, which also protects you from the classic alg=none forgery trick.

The most common cause is pasting extra whitespace or a trailing newline into the secret box — the verifier hashes the exact bytes you enter, so a copy-paste artifact breaks the match. Also double-check you're verifying the current token: if the JWT was re-issued after you copied it, or the provider's secret is base64-encoded rather than a raw string, decode it first before pasting it in.

Haz clic en Probar JWT de ejemplo para cargar un token de demostración HS256 con los claims sub, name, iat y exp, y así ver cómo funcionan la decodificación y la comprobación de caducidad antes de pegar tu propio token. En cuanto hay un token en el cuadro, aparece junto a él un botón Borrar que vacía la entrada con un solo clic.

Each of the Header, Payload and Signature panels has its own Copy button in its top-right corner that copies only that section's JSON (or the raw signature string) to your clipboard. There's also a primary Copy Payload button below the panels for the most common case of grabbing just the claims to paste into a debugger or bug report.