Antes de empezar
- Inspecciona solo datos autorizados y evita incluir credenciales reales en capturas o notas compartidas.
- Decide dónde se guardará el valor final antes de generarlo o copiarlo.
Herramienta JWT
Decodificador JWT online
Decodifica el header y el payload de un JSON Web Token directamente en tu navegador sin subir el token.
Trata claims JWT como datos no confiables
Inspecciona localmente, pero autoriza solo tras validar firma y claims en la aplicación.
- Muestra tres segmentos, header, payload, firma y tiempos.
- No verifica firma, emisor, audiencia, algoritmo ni permiso.
- Estado activo solo compara exp con reloj actual.
Todo queda en navegador; usa token de prueba o redactado cuando sea posible.
Cómo generar, comprobar e inspeccionar datos de seguridad localmenteTrata los valores generados y decodificados como sensibles
Comprueba el resultado
- Confirma que algoritmo, conjunto de caracteres, claims o hash coincidan con el sistema destinatario.
- Revisa vencimiento y emisor de tokens, y compara hashes solo de los mismos bytes de origen.
Ten en cuenta: Decodificar, generar o calcular hashes no autentica un token, recupera una contraseña ni sustituye una revisión de seguridad.
Detalles de la herramienta
Decodificador JWT online
Decodifica header y payload de JSON Web Token localmente en el navegador para depurar APIs, autenticación y claims.
Qué hace esta herramienta
Este decodificador JWT separa el token en header, payload y firma, decodifica el JSON Base64URL y muestra claims comunes como alg, typ, iss, sub, aud, iat, nbf y exp.
Casos de uso comunes
- Inspeccionar claims JWT desde respuestas de API o flujos de login
- Revisar exp, iat y nbf al depurar problemas de expiración
- Leer valores del header como alg, typ y kid sin subir el token
Cómo se manejan los datos
La decodificación JWT se ejecuta en tu navegador. El token no se envía al backend y la firma se muestra, pero no se verifica.
Preguntas frecuentes
¿Verifica la firma JWT?
No. Esta versión solo decodifica y muestra el token; no verifica si la firma es válida.
¿Mi JWT se envía al servidor?
No. El header y payload se decodifican localmente en el navegador.
¿Puedo decodificar tokens expirados?
Sí. El contenido puede leerse y la herramienta indica si exp ya quedó en el pasado.