Decodificador JWT
Lea la cabecera y el contenido de un JWT y compruebe su caducidad
Token
El token se decodifica en su navegador: nunca se envía. La firma no se verifica (haría falta la clave secreta).
Pegue un token a la izquierda para decodificarlo.
Acerca de la herramienta
El decodificador JWT muestra el contenido de un JSON Web Token sin necesidad de la clave: la cabecera, con el algoritmo y el tipo de token, y el contenido, con sus claims como el identificador del usuario, sus roles o sus permisos, formateado en JSON. Sirve para depurar una autenticación, comprobar qué recibe realmente una API o entender por qué se rechaza un token.
Los campos exp, iat y nbf se convierten en fechas legibles y en tiempo relativo, y una etiqueta indica si el token es válido, ha caducado, aún no es válido o no tiene fecha de caducidad. Si copias el token con el prefijo «Bearer», se elimina automáticamente. La firma no se verifica: haría falta la clave secreta o pública, que la herramienta no pide.
Cómo usarla
- Pega tu token (eyJ…) en el campo «Token».
- Mira la etiqueta de «Fechas del token»: Válido, Caducado, Aún no válido o Sin fecha de caducidad.
- Lee las fechas «Caduca», «Emitido» y «Válido desde», con el tiempo que falta o que ha pasado.
- Revisa la «Cabecera» y el «Contenido», y pulsa «Copiar» para llevarte el contenido en JSON.
Preguntas frecuentes
¿La herramienta verifica la firma del token?
No. Verificar una firma exige la clave secreta (HS256) o la clave pública (RS256, ES256), y la herramienta no la pide. Solo decodifica la cabecera y el contenido, que cualquiera puede leer, así que un token decodificado aquí no es necesariamente auténtico.
¿Cómo se determina el estado Caducado?
La herramienta compara la hora de tu ordenador con el campo exp, expresado en segundos desde 1970. Si nbf está en el futuro, el token aparece como «Aún no válido», y sin exp, como «Sin fecha de caducidad». Un reloj local mal ajustado falsea el estado.
¿Puedo pegar un token real sin riesgo?
El token se decodifica en tu navegador y nunca se envía: la página no hace ninguna petición de red para procesarlo ni lo guarda. Aun así, un token todavía válido es un dato sensible y no conviene compartirlo en otros sitios.
¿Por qué aparece «Un JWT tiene tres partes separadas por puntos»?
Un JWT firmado se compone de tres bloques Base64 URL separados por puntos: cabecera, contenido y firma. Un token truncado, un token cifrado (JWE) de cinco partes o una copia incompleta provocan este mensaje.