Decodificador JWT
Decodifica el encabezado y el payload de un JSON Web Token. El token nunca se envía a ningún sitio
Cargando la herramienta…
Decodifica un JSON Web Token: pégalo para ver el encabezado y el payload como JSON, con los claims de tiempo, como la caducidad, convertidos en fechas legibles. Úsalo para comprobar el contenido de un token y si ha caducado cuando falla un inicio de sesión o una llamada a una API.
Cómo se usa
- Pega un JWT que empiece por eyJ en «Token». Se ignora un «Bearer » inicial.
- Mira el JSON en «Encabezado» y «Payload» y la parte de la «Firma».
- En la tabla «Claims», consulta las horas de emisión y de caducidad y un estado como «Caducado» o «En vigor».
- Para comprobar si el token es de fiar, introduce el secreto o la clave pública en «Verificar la firma (opcional)».
Cómo funciona
- Un JWT tiene tres partes separadas por puntos: header.payload.signature. Las dos primeras son JSON codificado en Base64url, así que se pueden leer sin clave. exp, nbf e iat son segundos desde el 1 de enero de 1970 (UTC).
- La verificación usa Web Crypto para HS, RS, PS y ES (256/384/512), y EdDSA si el navegador lo admite. Las claves públicas se pueden dar como PEM, certificado, JWK o JWKS. Los tokens con alg «none» reciben un aviso.
- La decodificación y la verificación se hacen en tu navegador; el token y las claves no se guardan ni se envían. Aun así, usa preferiblemente tokens de prueba o caducados en lugar de tokens de sistemas en producción.
Preguntas frecuentes
- ¿Cómo sé cuándo caduca un JWT?
- Pega el token. «Caduca el» (exp) en la tabla «Claims» muestra la fecha y la hora, y la columna de estado muestra el tiempo restante o «Caducado».
- ¿Un JWT está cifrado?
- Un JWT normal (JWS) está firmado, no cifrado, así que cualquiera puede leer su contenido. No pongas en él contraseñas ni otros secretos. Un token con 5 partes es un JWE cifrado y no se puede leer sin la clave.
- ¿Decodificar un token demuestra que es auténtico?
- No. Cualquiera puede cambiar el contenido, así que solo se puede confiar en una firma comprobada con la clave correcta. Introduce la clave en «Verificar la firma (opcional)» para ver «Firma válida» o «Firma no válida».