Decodificador JWT

Decodifica un JSON Web Token para ver el encabezado y el payload, comprobar la caducidad y verificar firmas HS256/384/512.

Cargando…

Cómo usar

  1. Pega el token en el cuadro. Un "Bearer " inicial se ignora, así que puedes pegar tal cual el valor de una cabecera Authorization.
  2. Revisa el Encabezado y el Payload decodificados. El botón Copiar junto a cada título copia el JSON con formato.
  3. Si el payload tiene un claim exp, arriba se muestra Caducado o No caducado y cuánto falta o cuánto hace, actualizado cada segundo.
  4. La tabla muestra iat (emitido), nbf (válido desde) y exp (caduca) como fechas en tu zona horaria local, cada una con su tiempo relativo.
  5. En Firma, para un token HS256, HS384 o HS512, escribe el secreto en Clave secreta (HMAC) para ver si la firma es válida.

Preguntas frecuentes

Si un token se decodifica, ¿significa que es válido?
No. El encabezado y el payload solo están codificados en Base64URL, así que cualquiera puede leerlos o fabricar otros. Un token solo es fiable si su firma se comprueba con la clave correcta y sus alg, exp, nbf, iss y aud son los que espera tu aplicación; esta herramienta puede comprobar la firma con HS256/384/512 si introduces el secreto.
¿Qué algoritmos de firma se pueden verificar?
Solo HMAC: HS256, HS384 y HS512. Los algoritmos de clave pública como RS256, ES256 y PS256 necesitan la clave pública del emisor, que esta herramienta no admite, así que en ellos solo decodifica. El secreto se usa como texto tal cual (UTF-8); un secreto codificado en Base64 no se decodifica antes.
¿Cómo se interpretan iat, nbf y exp?
Se leen como segundos desde el 1970-01-01 UTC y se muestran en tu zona horaria local; los valores no numéricos no aparecen en la tabla. El estado Caducado / No caducado depende solo de exp, así que revisa nbf para saber si el token ya se puede usar.
¿Por qué dice que no es un JWT válido?
La entrada debe tener tres partes separadas por puntos, y las dos primeras deben ser objetos JSON codificados en Base64URL. Los tokens cifrados (JWE, de cinco partes) y los tokens cortados o mal copiados no se pueden decodificar.
¿Se envía mi token o mi secreto a un servidor?
No. La decodificación y la verificación se hacen en tu navegador; el token y el secreto no se envían a nuestro servidor ni a ningún otro sitio.