Decodificador JWT
Decodifica un JSON Web Token en tu navegador: lee su header y payload, ve cada claim con fechas legibles de expiración y emisión, y detecta riesgos de alg none y tokens expirados antes de que lleguen a producción.
Tu token decodificado aparecerá aquí. Pega un token y pulsa Decodificar, o carga el token de ejemplo para ver cómo funciona.
Privacidad: la decodificación corre localmente en tu navegador. Tu token nunca se sube, guarda ni registra. Aun así, prefiere un token de prueba sobre un token de producción en vivo.
Cómo funciona esta calculadora
Un JSON Web Token, o JWT, es un token compacto con tres partes Base64URL separadas por puntos: header.payload.signature. El header nombra el algoritmo de firma y el tipo de token, el payload lleva los claims (para quién es el token, cuándo se emitió, cuándo expira), y la firma prueba que las dos primeras partes no fueron alteradas. Decodificar no es desencriptar: Base64URL solo cambia cómo se ven los bytes, así que cualquiera que tenga un token puede leer su header y payload. Por eso existe esta herramienta, para mostrarte qué contiene realmente un token antes de confiar en él.
Ejemplo concreto: carga el token de ejemplo y el header decodifica a {"alg":"HS256","typ":"JWT"}, es decir HMAC con SHA-256, mientras el payload decodifica a {"sub":"1234567890","name":"John Doe","iat":1516239022}. El claim iat es un timestamp Unix, así que la herramienta lo muestra como 18 de enero de 2018, 01:30:22 UTC, la misma conversión que hace el Convertidor de Timestamp Unix. Cada claim de tiempo del payload (exp, iat, nbf, auth_time) recibe la misma representación legible, y el banner de estado responde la pregunta que los desarrolladores realmente hacen: ¿este token expiró, aún no es válido, o sigue vigente?
Tres cosas hacen este decodificador más seguro que pegar tokens en un sitio cualquiera. Primero, todo corre localmente en tu navegador: el token nunca se sube, guarda ni registra, así que un token filtrado no puede filtrarse más a través de esta página. Segundo, el panel de advertencias marca los casos peligrosos a simple vista: alg "none" significa que el token no está firmado y nunca se debe confiar en él, y un claim exp ausente significa que el token nunca expira por sí solo. Tercero, la firma se muestra pero con la etiqueta honesta de solo lectura: verificar una firma necesita el secreto o la llave pública del servidor, y cualquier herramienta que afirme verificar sin uno está adivinando. Para una verificación real, mantén el secreto en el servidor, donde pertenece.