Mira el interior de cualquier JWT: cabecera, payload y caducidad

Pega el JWT codificado (la larga cadena eyJ…) en el cuadro de entrada. La herramienta lo divide por los dos puntos, decodifica en Base64URL el encabezado y el payload y muestra el JSON de cada uno más el segmento de firma en bruto, todo sin realizar ninguna solicitud de red.

No. El decodificador solo analiza el token; no comprueba la firma contra una clave secreta o pública, porque la verificación requiere el material de clave del emisor. Usa una biblioteca JWT del lado del servidor para la verificación en producción; esta herramienta es para inspección y depuración.

Obtienes la cabecera (algoritmo e identificador de clave), las reclamaciones del payload (sub, iss, aud, iat, exp y cualquier reclamación personalizada) y la firma en bruto. Las reclamaciones de marca temporal estándar se formatean como fechas legibles para que puedas detectar tokens caducados de un vistazo.

Si el payload contiene el claim estándar "exp", la herramienta lo compara con la hora actual y muestra «Válido hasta» o «Token caducado el» con la marca de tiempo exacta. Los tokens sin un claim exp se indican como sin caducidad.

Cualquiera que lea el contenido de un JWT puede usarlo hasta que caduque, así que los tokens de producción deben mantenerse en herramientas privadas. Este decodificador funciona por completo en tu navegador y nunca transmite el token, pero la regla más segura es decodificar siempre que sea posible tokens de desarrollo de corta duración.

Un JWT tiene tres segmentos codificados en Base64URL separados por puntos: header (el algoritmo de firma), payload (las claims que el emisor quiere que el verificador acepte) y signature (un MAC o firma digital sobre header.payload). La decodificación nunca necesita una clave; solo la verificación la requiere.

Un token compacto y seguro para URL formado por tres segmentos Base64URL —cabecera, carga útil y firma— que transporta datos firmados como un ID de usuario y una fecha de caducidad. Se usa mucho para sesiones de inicio de sesión sin estado y para proteger peticiones de API. Pega uno arriba para inspeccionar su cabecera y su carga útil.

Debajo del encabezado y la carga útil decodificados, pega el secreto de firma (para HS256) o la clave pública del emisor en formato PEM o JWK (para RS256, ES256 y similares) en el recuadro Verificar firma y luego haz clic en Verificar. La insignia que aparece indica si la firma es válida, no válida o usa un algoritmo que el verificador del navegador no admite, todo calculado localmente, sin enviar el token ni la clave a ningún sitio.

Para algoritmos HMAC como HS256 pegas la cadena de secreto compartido en bruto. Para algoritmos asimétricos como RS256, RS384 o ES256 necesitas la clave pública del emisor — nunca la clave privada — proporcionada como un bloque PEM o un JWK; pegar la mitad equivocada de un par de claves asimétrico hará que la verificación falle aunque el token sea válido.

El panel de Verificar firma admite todos los algoritmos JOSE principales: HS256/384/512 (HMAC con un secreto compartido), RS256/384/512 (RSASSA-PKCS1-v1_5 con una clave pública RSA), PS256/384/512 (RSA-PSS con una clave pública RSA) y ES256/384/512 (ECDSA sobre la curva correspondiente P-256/P-384/P-521). Los tokens firmados con "none" o cualquier algoritmo fuera de esta lista siempre se informan como no compatibles en lugar de marcarse como válidos, lo que también te protege del clásico truco de falsificación alg=none.

La causa más común es pegar espacios en blanco de más o un salto de línea final en el cuadro del secreto: el verificador hace hash de los bytes exactos que introduces, así que un artefacto de copiar y pegar rompe la coincidencia. Comprueba también que estás verificando el token actual: si el JWT se reemitió después de que lo copiaste, o si el secreto del proveedor está codificado en base64 en lugar de ser una cadena en bruto, decodifícalo primero antes de pegarlo.

Haz clic en Probar JWT de ejemplo para cargar un token de demostración HS256 con los claims sub, name, iat y exp, y así ver cómo funcionan la decodificación y la comprobación de caducidad antes de pegar tu propio token. En cuanto hay un token en el cuadro, aparece junto a él un botón Borrar que vacía la entrada con un solo clic.

Cada uno de los paneles de Cabecera, Payload y Firma tiene su propio botón de Copiar en la esquina superior derecha que copia al portapapeles solo el JSON de esa sección (o la cadena de firma en bruto). También hay un botón principal de Copiar payload debajo de los paneles para el caso más común de tomar solo los claims y pegarlos en un depurador o un informe de errores.

Copia el valor que aparece después de 'Bearer ' en el encabezado Authorization — la parte que empieza con eyJ… es el propio JWT — y pégalo en el decodificador para ver al instante el encabezado, las reclamaciones (claims) del payload y el estado de expiración. Si copias toda la cadena 'Bearer eyJ…', quita primero el prefijo 'Bearer ' para que el token tenga exactamente tres partes separadas por puntos.

No: esto es un decodificador y visor, no un editor de JWT. Cambiar el payload invalidaría la firma, así que cualquier servidor que verifique el token rechazaría la versión modificada. Para cambiar los claims debes emitir un nuevo token firmado con el secreto o la clave privada correctos. Usa el decodificador para leer y depurar tokens, no para modificarlos.