Decodificador de JWT

Lee cualquier JWT sin enviarlo a ningún sitio

Pega un JSON Web Token y el decodificador lo separa en sus tres partes: el encabezado (con qué algoritmo se firmó), el payload (los claims: quién es el usuario, a qué tiene acceso y cuándo caduca el token) y la firma. El JSON aparece formateado para que lo leas de un vistazo.

Los claims de tiempo se convierten en fechas reales. exp, iat y nbf se muestran en tu zona horaria, en UTC y como «dentro de 20 minutos» o «hace 3 días», y el estado te dice al momento si el token sigue siendo válido, si caducó o si todavía no es válido.

Un token suele dar acceso a cuentas reales, así que todo se decodifica en tu navegador. El token nunca se sube a nuestro servidor ni se registra o guarda, algo más seguro que pegarlo en un chatbot o en una web que lo envía a un servidor.

Cómo decodificar un JWT

1. Copia el token desde tu app, un encabezado Authorization, una cookie o las herramientas para desarrolladores del navegador.
2. Pégalo en el cuadro. El prefijo Bearer, las comillas, los espacios y los saltos de línea se quitan solos.
3. Lee el resumen: estado, algoritmo, emisor, sujeto, audiencia y las horas exactas de emisión y caducidad.
4. Usa los botones de copiar para llevar el JSON formateado del encabezado o del payload a un informe de errores o a tus notas.

Qué significan los claims más comunes

• exp (expiration time): a partir de ese momento el token debe rechazarse.
• iat (issued at): cuándo se creó el token.
• nbf (not before): el token no debe aceptarse antes de ese momento.
• iss (issuer): quién creó el token, a menudo la URL de tu servidor de inicio de sesión.
• sub (subject): a quién se refiere el token, normalmente un ID de usuario.
• aud (audience): la app o API a la que va dirigido el token.
• alg y kid (en el encabezado): el algoritmo de firma, como HS256 o RS256, y el ID de la clave con la que se firmó.

Las fechas de un JWT son valores NumericDate: el número de segundos desde el 1 de enero de 1970 UTC. El decodificador las convierte por ti, así que no necesitas un conversor de timestamps aparte.

Consejos para depurar

• Si una API responde 401 justo después de iniciar sesión, revisa primero exp y nbf. Un reloj del servidor adelantado o atrasado unos minutos es una causa habitual; la mayoría de las librerías permiten un pequeño margen.
• Una fecha decenas de miles de años en el futuro significa que el valor se escribió en milisegundos en vez de segundos. El decodificador te avisa cuando pasa.
• Compara aud e iss con lo que espera tu API. Un token emitido para otra app u otro entorno (staging en vez de producción) es una causa frecuente de errores de «token no válido».
• Un encabezado con alg igual a none significa que el token no está firmado. Nunca aceptes esos tokens en producción.

Límites y cosas que conviene saber

• Decodificar no es verificar. Cualquiera puede crear un token con los claims que quiera; solo comprobar la firma con la clave correcta, en tu servidor, demuestra que es auténtico. Esta herramienta no verifica firmas.
• El payload de un JWT normal solo está codificado, no cifrado. Cualquiera que tenga el token puede leerlo, así que nunca pongas contraseñas ni secretos en los claims.
• Los tokens cifrados (JWE, de cinco partes) no se pueden leer sin la clave, así que solo se muestra su encabezado.
• Los números se muestran tal como aparecen en el token, así que los ID numéricos largos nunca se redondean.

Preguntas frecuentes

¿Es seguro pegar aquí un token real?

Sí. La decodificación se hace con JavaScript en tu navegador y el token nunca se envía a nuestro servidor. Aun así, trata los tokens activos como contraseñas: no los compartas en capturas ni chats, y deja que caduquen.

¿Esta herramienta me dice si un token es válido?

Te dice si el token caducó o si aún no es válido, según sus fechas. No puede decirte si la firma es auténtica, porque para eso hace falta la clave secreta o pública que solo debería tener tu servidor.

¿Por qué mi token aparece caducado si me lo acaban de dar?

Revisa el reloj del servidor que lo emitió y asegúrate de que exp está en segundos y no en milisegundos. Si iat también está horas en el pasado, probablemente el reloj del servidor está mal.

¿Qué diferencia hay entre un decodificador JWT y uno Base64?

Un JWT son tres partes codificadas en Base64URL unidas por puntos. Un decodificador Base64 lee una parte cada vez, pero el decodificador JWT separa el token por ti, entiende el alfabeto seguro para URL y la falta de relleno, y convierte las fechas en horas legibles.

¿Funciona sin conexión?

Sí. Una vez cargada la página, puedes desconectarte de internet y seguir decodificando tokens.

Herramientas relacionadas

• Decodificador Base64: Decodifica cadenas Base64 a texto legible al instante. Revisa encabezados de autenticación, tokens, payloads de API y correos. Decodificador Base64 gratis.
• Validador y formateador de JSON: Valida y formatea JSON en línea. Encuentra errores de sintaxis y convierte JSON minificado en código legible e indentado. Gratis y sin registro.
• Decodificador de URL: Decodifica URL y cadenas de consulta con codificación porcentual y conviértelas en texto legible. Transforma %20, %26 y %C3%A9 al instante. Gratis.
• Codificador Base64: Codifica cualquier texto o cadena a Base64 al instante. Útil para data URI, encabezados HTTP Basic, correo y API. Codificador Base64 gratis.