Decodificador de JWT
Pega un token JWT y te mostramos qué trae adentro: el algoritmo, los datos del usuario y cuándo vence. Si tienes el secreto, también verificamos la firma.
El token y el secreto se procesan en tu navegador y no se envían a ningún lado.Token
No pegues tokens de producción vigentes. Quien tiene un token puede usarlo para entrar como ese usuario hasta que venza.
Verificar la firma (opcional)
Contenido
Pega un token para leerlo.
Cómo está hecho un JWT
Un JWT son tres partes separadas por puntos, cada una en Base64 URL-safe:
- Encabezado: el tipo de token y el algoritmo de firma (
alg). - Carga útil: los datos, llamados claims: quién es el usuario, quién emitió el token y cuándo vence.
- Firma: asegura que nadie cambió las dos primeras partes. Sin la clave no se puede falsificar.
Decodificar no requiere ninguna clave: los datos de un JWT no están cifrados, solo firmados. Por eso nunca se debe guardar una contraseña ni datos sensibles dentro de uno.
Preguntas frecuentes
¿Qué significan exp, iat y nbf?
exp es cuándo vence, iat cuándo se emitió y nbf desde cuándo es válido. Son segundos desde el 1 de enero de 1970 y aquí los mostramos como fecha en tu zona horaria.
La firma no calza, ¿qué reviso?
Que el secreto sea exactamente el mismo, sin espacios al final, y si en tu sistema está guardado en Base64, activa la opción correspondiente. Un solo carácter distinto en el token también cambia la firma.
¿Es seguro pegar mi token aquí?
Todo se procesa en tu navegador. Aun así, trata un token vigente como una contraseña: usa tokens de prueba o ya vencidos.
¿Qué es el "alg none"?
Un token sin firma. Si tu sistema acepta tokens con alg igual a none, cualquiera puede fabricar uno. Es una falla de seguridad grave que conviene revisar.