Web y codificación
JWT Decodificador
Pegue un token web JSON para ver su encabezado, carga útil y declaraciones de tiempo traducidas a fechas legibles. La decodificación se realiza completamente en su navegador: el token nunca se transmite.
- Se ejecuta 100% en tu navegador.
- Sin registro · Sin cargas
- Uso gratuito e ilimitado
JWT (header.payload.signature)
Ejemplos: Ficha de demostración HS256 · Formato al portador —⌘/Ctrl + Enter convierte · suelta un archivo para cargarlo · procesado localmente
Salida decodificada
La salida es de sólo lectura. Utilice Copiar, Descargar o Compartir para eliminarlo.
Cómo utilizar la herramienta JWT Decodificador
-
Pega la ficha
Se acepta un prefijo de portador. Sólo se leen los dos primeros segmentos: la firma se muestra pero nunca se verifica.
-
Leer encabezado y carga útil
Ambos están bonitos impresos como JSON. Los reclamos de tiempo se traducen a fechas UTC con horas relativas y los tokens vencidos se marcan.
-
Comprueba antes de confiar
Utilice las afirmaciones para depurar las preguntas de "¿por qué se rechaza mi token?": desfase del reloj, audiencia incorrecta o una caducidad que no notó.
¿Qué hace que esta herramienta sea diferente?
- Encabezado y carga útil bastante impresos con declaraciones de tiempo en fechas legibles
- Bandera EXPIRADA explícita/aún válida y cuenta regresiva “caduca en”
- Decodificación Base64url con manejo correcto de UTF-8, por lo que los nombres que no son ASCII son correctos
- Funciona con tokens con prefijo de portador; firma mostrada truncada
- Se ejecuta 100% sin conexión en la pestaña: los tokens a menudo contienen reclamos confidenciales
Privacidad por arquitectura: esta página no contiene análisis que reciban su entrada y el código de conversión se ejecuta en su pestaña. Puedes desconectarte de la red después de cargar y seguir trabajando.
JWT Decodificador — preguntas frecuentes
¿Es seguro pegar un JWT en un sitio web?
Con esta herramienta, sí para el token en sí: la decodificación es JavaScript puro en su navegador y no se envía nada a ninguna parte. Pero trate los tokens como secretos de todos modos: un JWT es una credencial de portador, válida para quien la posea hasta que caduque. Para tokens de producción, prefiera decodificar localmente en su propio depurador.
¿Esto verifica la firma?
No, y tampoco lo hace ningún decodificador sin su clave pública o secreta. La decodificación solo base64url decodifica los segmentos. La verificación requiere la clave de firma y debe estar en su backend o en una biblioteca como jose o jsonwebtoken.
¿Por qué se rechaza mi token aunque la decodificación funcione?
Las causas habituales son: el reclamo de exp pasó, el token se emitió para una audiencia (aud) o emisor (iss) diferente, el reloj del servidor difiere lo suficiente como para llevar a nbf al futuro o se rotó la clave de firma. El panel de reclamaciones responde a las tres primeras al instante.
¿Qué significan iat, exp y nbf?
iat se emite a las, exp es el tiempo de vencimiento y nbf es no antes. Los tres son marcas de tiempo de Unix en segundos. Un token es válido cuando nbf ≤ now < exp (cuando esas afirmaciones están presentes).
¿Puedo editar un token para probar las comprobaciones de roles?
Puede editar la carga útil, pero la firma ya no coincidirá, por lo que cualquier servidor que verifique las firmas la rechazará, correctamente. Para realizar pruebas, vuelva a iniciar sesión con la clave de su entorno; esa es la única forma de probar honestamente las rutas de autenticación.
Herramientas relacionadas
¿Buscando “decodificar jwt en línea”, “decodificar token web json”, “verificador de vencimiento jwt”? Estás en el lugar correcto. explorar todas las 19 herramientas.