Decodificador JWT
Pega un JSON Web Token para leer su cabecera, su payload y sus claims. Todo se decodifica en tu navegador: el token no sale de esta página.
Tu token se decodifica localmente con JavaScript. No se envía nada a ToolGenie ni a ningún otro servidor, y no se guarda nada.
Cómo usar el decodificador JWT
- Copia el JSON Web Token de la respuesta de tu API, de la cabecera Authorization, de una cookie o de un log.
- Pégalo en el cuadro de arriba: los espacios y los saltos de línea se ignoran.
- Pulsa "Decodificar" para separar el token en cabecera, payload y firma.
- Lee el JSON formateado y revisa el resumen de claims para ver el emisor, la audiencia y la fecha de caducidad.
- Usa "Copiar cabecera" o "Copiar payload" para pegar el JSON en un ticket o en un test, y "Limpiar" para vaciar el campo.
¿Qué es un decodificador JWT?
Un JSON Web Token son tres bloques codificados en Base64URL unidos por puntos: una cabecera que indica el algoritmo de firma, un payload con los claims y una firma. Un decodificador JWT deshace esa codificación para que puedas leer la cabecera y el payload como JSON normal en vez de mirar una cadena ilegible en un log.
Como la cabecera y el payload solo están codificados —no cifrados— cualquiera que tenga el token puede leerlos. Por eso esta herramienta resulta tan práctica cuando una API devuelve 401, cuando una sesión caduca antes de tiempo o cuando necesitas confirmar qué emisor, audiencia y sujeto lleva realmente el token. El resumen de claims convierte los números de exp, nbf e iat en fechas legibles y avisa si el token ya ha caducado.
Trabajar con tokens suele llevarte a herramientas vecinas: el codificador y decodificador Base64 para los segmentos en crudo, el generador de hash para sumas de verificación y entradas HMAC, y la herramienta de cifrado y descifrado AES cuando un valor debe permanecer secreto de verdad y no solo codificado.
Preguntas frecuentes (FAQ)
¿Cómo decodifico un token JWT online?
Pega el token completo en el cuadro de arriba y pulsa "Decodificar". La herramienta lo divide por los puntos, decodifica en Base64URL los dos primeros segmentos y muestra la cabecera y el payload como JSON formateado.
¿Este decodificador JWT verifica la firma?
No. Solo decodifica. Verificar la firma exige el secreto compartido o la clave pública del emisor, y hacerlo en el navegador significaría entregar tu clave de firma. Verifica siempre en el servidor antes de confiar en un claim.
¿Es seguro pegar un JWT en un decodificador online?
En este caso la decodificación se ejecuta por completo en tu navegador y el token nunca se sube. Aun así, un token de acceso vivo es una credencial: usa preferiblemente tokens de prueba o caducados y rota cualquiera que pegues en una herramienta ajena.
¿Cómo leo el claim exp de un JWT?
El claim exp es una marca de tiempo Unix en segundos, no en milisegundos. El resumen de arriba muestra el número original junto a la fecha local e indica si el token estaba caducado en el momento de decodificarlo.
¿Por qué no se decodifica mi JWT?
Las causas habituales son que falte el tercer segmento, que la copia haya perdido caracteres al final o que se haya colado el prefijo "Bearer". Un JWT válido tiene exactamente tres partes Base64URL separadas por dos puntos.
¿Un JWT está cifrado o solo codificado?
Un JWT firmado normal (JWS) solo está codificado en Base64URL, así que cualquiera puede leer el payload. La firma demuestra que no se ha alterado, pero no oculta el contenido. Nunca pongas contraseñas ni datos sensibles en el payload.
¿Qué diferencia hay entre un parser JWT y un depurador JWT?
Describen el mismo trabajo desde ángulos distintos: un parser convierte el token en datos estructurados, mientras que un depurador además te ayuda a ver por qué se rechaza — una audiencia equivocada, un nbf con desfase horario o un exp ya vencido.
Consejos para trabajar con JSON Web Tokens
- Consejo 1: Si un token es rechazado, compara primero exp y nbf con el reloj de tu servidor: unos minutos de desfase explican la mayoría de los 401 misteriosos.
- Consejo 2: Mantén el payload pequeño. El token viaja en cada petición, así que cada claim extra cuesta ancho de banda en todas las llamadas.
- Consejo 3: Revisa el valor "alg" de la cabecera. Un token que llega con "none" o con un algoritmo que tu API no esperaba es una señal de alarma que conviene investigar.
- Consejo 4: Los secretos de firma merecen el mismo cuidado que las contraseñas: créalos con el generador de contraseñas y comprueba su entropía con el comprobador de fortaleza de contraseñas antes de que protejan tokens en producción.