Decodificador de JWT
Solo decodifica el contenido, no verifica la firma criptográfica (necesitarías la clave secreta del servidor para eso).
Sobre esta herramienta
Decodifica cualquier token JWT (JSON Web Token) y muestra de forma clara y legible su encabezado (header), su contenido (payload) y su firma, sin necesidad de verificar la clave secreta. Los JWT se usan constantemente en autenticación web moderna (login con sesiones sin estado), APIs REST y OAuth, y a veces es necesario inspeccionar rápidamente qué información contiene un token (como el usuario, los permisos o la fecha de expiración 'exp') para depurar un problema de login o una integración con un backend. Simplemente pega el token completo y la herramienta separa automáticamente sus tres partes (header.payload.signature), decodifica cada una desde Base64URL y las muestra como JSON formateado y legible. Todo el proceso ocurre en tu navegador: el token nunca se envía a ningún servidor, lo cual es importante porque un JWT puede contener información sensible de sesión.
Preguntas frecuentes
¿Verifica la firma del token?
No. Solo decodifica el contenido para que puedas leerlo: no comprueba que la firma sea válida ni que el token no haya sido manipulado. Para saber si un token es auténtico, tu servidor debe verificarlo con la clave correspondiente.
¿Un JWT está cifrado?
Normalmente no: un JWT firmado (JWS) solo está codificado en Base64URL, así que cualquiera que lo tenga puede leer su contenido, como hace esta herramienta. Por eso no se deben guardar contraseñas ni datos secretos dentro de un JWT.
¿Cómo veo cuándo caduca el token?
Busca el campo "exp" del contenido: es un timestamp Unix en segundos. Pégalo en la herramienta Timestamp a fecha para ver la fecha y hora de caducidad. El campo "iat" indica cuándo se emitió.
¿Qué son las tres partes del token?
Cabecera (algoritmo y tipo), contenido o "payload" (los datos, llamados claims) y firma, separadas por puntos. La herramienta decodifica cabecera y contenido a JSON legible; la firma es una cadena binaria que no se puede leer sin la clave.
¿Es seguro pegar aquí un token real?
La decodificación se hace en tu navegador y el token no se envía a ningún servidor. Aun así, un token válido da acceso a la sesión, así que evita pegar tokens de producción activos; usa uno de prueba o ya caducado.
¿Por qué dice que no se pudo decodificar?
Lo más habitual es que falten partes (debe haber al menos cabecera y contenido separados por un punto), que el token esté cortado o que se hayan colado espacios o saltos de línea. Pégalo completo, sin la palabra "Bearer" delante.
Herramientas relacionadas
Formateador de Código
Formatea JS, TS, HTML, CSS, JSON y Markdown al instante
LocalFormateador JSON
Valida, formatea y minifica JSON al instante
LocalGenerador de UUID
Genera UUID v4 aleatorios y seguros en lote
LocalDiff de Código
Compara dos textos y resalta las diferencias línea por línea
LocalCodificador y Decodificador Base64
Codifica y decodifica texto o archivos en Base64 al instante
LocalCodificador y Decodificador de URL
Codifica y decodifica URLs y parámetros de consulta