Herramienta gratis · funciona en tu navegador
Decodificador de JWT
Pega un JSON Web Token para leer su header y su payload, y ver cuándo se emitió y cuándo caduca.
Respuesta rápida
Un JWT tiene tres partes separadas por puntos: un header, un payload y una firma. Las dos primeras son JSON codificado en Base64URL, así que cualquiera puede decodificarlas y leerlas; solo la firma demuestra que el token es auténtico. Esta herramienta decodifica el header y el payload y convierte exp, iat y nbf en fechas legibles. No verifica la firma.
Cómo usarla
- Pega el token. Copia el JWT de tu app, de un header Authorization o de una cookie y pégalo en el cuadro.
- Lee las partes. El header muestra el algoritmo; el payload muestra los claims, como el id de usuario y los roles.
- Revisa las fechas. La herramienta muestra cuándo se emitió el token, cuándo caduca y si ya ha caducado.
Preguntas frecuentes
¿Es seguro pegar aquí mi JWT?
Sí. La decodificación se hace por completo en tu navegador y no se envía nada a un servidor. Aun así, trata los tokens de producción como contraseñas y no los compartas.
¿Esta herramienta verifica la firma del JWT?
No. Verificar una firma requiere el secreto o la clave pública, que deben estar en tu servidor. Decodificar solo lee el header y el payload.
¿Por qué cualquiera puede leer el payload de mi JWT?
El payload solo está codificado, no cifrado. Nunca pongas contraseñas ni secretos en un JWT.
¿Qué significan exp, iat y nbf?
exp es cuándo caduca el token, iat cuándo se emitió y nbf el momento antes del cual no es válido. Todos son timestamps Unix en segundos.
¿Por qué los usuarios se desconectan al azar con JWT?
Normalmente por refrescos simultáneos entre peticiones o pestañas, diferencias de reloj, la configuración de cookies o secretos distintos entre servidores.
¿Qué diferencia hay entre JWS y JWE?
Un JWS está firmado pero se puede leer, y así son la mayoría de los JWT. Un JWE está cifrado, por lo que su payload no se puede leer sin la clave. Esta herramienta solo decodifica tokens firmados.
¿Qué es alg en el header de un JWT?
El algoritmo de firma, como HS256 (un secreto compartido) o RS256 y ES256 (un par de claves privada y pública). Los servidores solo deben aceptar los algoritmos que esperan.
¿Cuánto tiempo debe ser válido un JWT?
Los access tokens suelen durar poco, de minutos a una hora, con un refresh token de mayor duración para obtener otros nuevos. Los tokens cortos limitan el daño si uno se filtra.
¿Dónde guardar un JWT en el navegador?
Muchas apps guardan el refresh token en una cookie httpOnly y Secure y el access token de corta duración en memoria, lo que limita lo que puede leer un script malicioso.
¿Puedo editar el payload y reutilizar el token?
No. Cambiar cualquier parte invalida la firma, y un servidor bien configurado rechazará el token.