Decodificador JWT
Lee el encabezado y el payload de un token sin enviarlo a ninguna parte.
- Se ejecuta en tu navegador — tu texto no se envía a ningún sitio
- Sin registro, sin cuotas, gratis para usar tantas veces como quieras
Cómo funciona
Pegar un JWT en un sitio web es un mal hábito de verdad: un token activo es una credencial y acabas de entregársela a un tercero. Esta herramienta lo decodifica en la propia página, así que el token nunca sale de tu equipo.
Qué contiene un JWT
Tres segmentos Base64URL separados por puntos: un encabezado que indica el algoritmo, un payload con las claims y una firma. Los dos primeros están codificados, no cifrados: cualquiera que tenga el token puede leerlos.
Verificar la firma no es decodificar
Esto muestra lo que dice el token. No verifica que la firma sea válida, porque eso requiere el secreto de firma o la clave pública. Un token decodificado no demuestra nada sobre su autenticidad.
Caducidad
Cuando el payload incluye una claim de caducidad, se muestra como una fecha legible y se marca si ya pasó, que suele ser justo lo que querías saber.
Decodificador JWT — preguntas
¿Verifica la firma?
No. La verificación necesita la clave de firma. Esta herramienta solo decodifica y muestra el contenido.
¿Mi token se envía a un servidor?
No, y ese es el objetivo. Un token activo es una credencial y no debe pegarse en un servicio remoto.
¿Por qué cualquiera puede leer un JWT?
El encabezado y el payload están codificados en Base64, no cifrados. La firma impide la manipulación, no la lectura.