🔑 Decodificador de JWT
Decodifica JSON Web Tokens — ve encabezado, carga útil y expiración
✓ Gratis para siempre · ✓ Sin registro · ✓ Sin subida · ✓ Funciona sin conexión
🔒 Tus datos nunca salen de tu dispositivo. Todo el procesamiento ocurre localmente en tu navegador usando Decodificación Base64 JavaScript. Sin subidas, sin servidor, sin rastreo.
Características
- Inspección Completa de Token — Decodifica y muestra el encabezado, carga útil y firma de cualquier token JWT.
- Verificación de Expiración — Emisión, inicio de validez y caducidad como fechas en tu zona horaria, con cuenta atrás en directo: válido, caducado o aún no válido.
- Pantalla de Reclamaciones — Cada claim exactamente como lo escribe el token: los ID numéricos largos conservan todas sus cifras y las claves repetidas se señalan.
- Completamente Sin Conexión — La decodificación ocurre en tu navegador. Tus tokens nunca se envían a ningún servidor.
Cómo Funciona
- Pega tu JWT — Pega un JSON Web Token en el campo de entrada.
- Inspecciona las partes decodificadas — Ve el encabezado (algoritmo, tipo), carga útil (reclamaciones, timestamps) y firma.
- Verifica expiración — Ve si el token aún es válido o ha expirado.
Casos de Uso
- Depura problemas de autenticación inspeccionando reclamaciones de JWT
- Comprobar cuándo caduca o empieza a valer un token y quién lo emitió
- Inspecciona tokens durante desarrollo y pruebas de API
- Aprende sobre estructura de JWT examinando tokens reales
Preguntas Frecuentes
¿Verifica la firma del JWT?
No. Decodifica el token y muestra lo que afirma; no comprueba la firma, y la página lo dice debajo de cada token. Verificar requiere el secreto o la clave pública del emisor y se hace en tu servidor: nunca te fíes de los claims solo porque se decodificaron bien.
¿Es seguro pegar mi JWT aquí?
El token lo decodifica JavaScript en esta pestaña y no se envía a ningún sitio ni se guarda: abre la pestaña Red y verás que no sale ninguna petición al pegarlo. Aun así, un token activo funciona como una contraseña: usa tokens de prueba o caducados cuando puedas.
¿Qué formatos de JWT admite?
JWT firmados (JWS) con las tres partes habituales header.payload.signature, incluidos los tokens sin firma con alg "none". Puedes pegar una línea entera "Authorization: Bearer …", una cadena entre comillas o un token partido en varias líneas: lo que sobra se quita y se indica. Los tokens cifrados (JWE, cinco partes) no se pueden leer sin la clave del destinatario; la página te avisa si pegas uno.
¿Por qué muestra 12345678901234567890 si otro decodificador muestra 12345678901234567000?
Porque eso es lo que dice el token. Los números de JavaScript guardan unas 16 cifras, así que los decodificadores que analizan el JSON y lo vuelven a imprimir cambian los ID largos sin avisar, convierten 1.10 en 1.1 y eliminan una clave repetida. Este muestra el texto del propio token, solo con otra sangría.
¿Qué significan iat, nbf y exp?
Emitido, no antes de y caduca: segundos desde el 1 de enero de 1970 (UTC). La página los muestra como fechas en tu zona horaria con una cuenta atrás en directo. Un valor en milisegundos se señala, porque las librerías lo leerían como una fecha dentro de miles de años.
En el blog
- 📖 How to Decode a JWT (Safely — Without Leaking It) — Decode a JWT to read its header and payload in seconds — and why pasting a live token into a random online decoder can get your session hijacked.
Herramientas Relacionadas
- Imagen a Base64 — Convierte una imagen en data URI Base64, o codifica y decodifica texto en Base64 — y vuelve a convertir Base64 en un archivo
- { } Formateador y Embellecedor JSON — Imprime bonito, minifica y valida JSON con estadísticas
- #️⃣ Generador de Hashes — Genera hashes criptográficos a partir de texto o archivos
💬 ¿Bug, idea, o solo un hola? Dile a Milo 🐨 · [email protected]