Decodifique y verifique JSON Web Tokens (JWT) en línea.
Longitud
0
Tamaño Header
0 B
Tamaño Payload
0 B
Tamaño Firma
0 B
✓ JWT (JSON Web Token) es un estándar abierto para transmitir información de forma segura
✓ Consta de tres partes: Header, Payload y Signature
✓ Se usa para autenticación y autorización (API)
✓ Esta herramienta decodifica JWT pero no verifica la firma
✓ Pegue cualquier token JWT para decodificarlo automáticamente
✓ Haga clic en Copy para copiar rápidamente
Un JWT-Decoder es una herramienta en línea especializada que permite analizar y visualizar el contenido de un token JWT (JSON Web Token). Su propósito principal es facilitar la comprensión, depuración y verificación de estos tokens, que son ampliamente utilizados en autenticación y autorización para APIs y aplicaciones web modernas. En lugar de ser una simple cadena de texto cifrada, la herramienta descompone el JWT en sus partes legibles, permitiendo a desarrolladores y administradores inspeccionar su carga útil de forma segura y sin necesidad de escribir código.
El objetivo fundamental de esta herramienta es actuar como un instrumento educativo y de diagnóstico. No valida la firma digital del token (para eso se necesita la clave secreta), pero sí revela toda la información contenida en él. Esto es crucial para:
La herramienta realiza un proceso de decodificación paso a paso sobre el token JWT proporcionado por el usuario:
exp), la fecha de emisión (iat), o el sujeto (sub), a menudo convirtiendo timestamps a formatos de fecha y hora legibles.En resumen, un JWT-Decoder online es una utilidad esencial para cualquier persona que trabaje con tokens JWT, ofreciendo transparencia inmediata sobre la información que contienen y ayudando a garantizar la correcta implementación de la seguridad en aplicaciones.
Nunca decodifiques un JWT sin antes realizar comprobaciones básicas. Asegúrate de que la cadena no esté vacía y verifica su estructura (tres partes separadas por puntos). Un token malformado puede causar errores inesperados en el proceso de decodificación.
Esta herramienta decodifica el token (lee su contenido), pero NO lo verifica criptográficamente. Para uso en producción, siempre debes validar la firma del token (HMAC, RSA) utilizando la biblioteca adecuada y la clave secreta o pública correspondiente para garantizar su autenticidad e integridad.
No te limites a mirar el payload. Examina también el encabezado (header) para verificar el algoritmo de firma (`alg`) usado. Revisa claims estándar importantes como:
Un JWT decodificado puede contener información sensible. Nunca registres, imprimas o almacenes el payload decodificado en logs accesibles. Utiliza esta herramienta solo en entornos de desarrollo o depuración seguros, nunca para procesar tokens de usuarios reales en frontend público.
Esta herramienta es ideal para:
Dado que cualquiera puede decodificar y modificar un JWT sin la clave de firma, nunca bases decisiones críticas de seguridad o negocio únicamente en los datos decodificados. Toda lógica crítica debe ejecutarse en el backend después de haber verificado la firma del token.
Antes de proceder a la verificación criptográfica en tu backend, inspecciona el claim `alg`. Rechaza explícitamente tokens que utilicen `alg: "none"` u otros algoritmos débiles que no sean los esperados por tu aplicación, para prevenir ataques de manipulación de algoritmos.
Un JWT (JSON Web Token) es un estándar abierto que define una forma compacta y autónoma de transmitir información de forma segura entre dos partes como un objeto JSON. Se utiliza comúnmente para autenticación y autorización en aplicaciones web y APIs. Cuando un usuario inicia sesión, el servidor genera un JWT que se envía al cliente y se usa para acceder a recursos protegidos, evitando tener que enviar credenciales constantemente.
Un JWT consta de tres partes separadas por puntos: el Encabezado (Header), la Carga Útil (Payload) y la Firma (Signature). El Encabezado especifica el algoritmo de firma. La Carga Útil contiene los "reclamos" o datos, como el ID de usuario o permisos. La Firma se genera codificando el encabezado y la carga útil, y firmándolos con un algoritmo y una clave secreta para verificar que el token no ha sido alterado.
Para decodificar un JWT, simplemente pegue el token completo en el campo de entrada de la herramienta y haga clic en el botón de decodificar. La herramienta separará automáticamente las tres partes, decodificará de Base64Url el Encabezado y la Carga Útil, y mostrará su contenido en formato JSON legible. La Firma no se puede decodificar, ya que es una verificación criptográfica.
No. Esta herramienta es un decodificador, no un validador. Solo decodifica las partes codificadas en Base64Url (Encabezado y Carga Útil) para que pueda inspeccionar su contenido. Para validar la firma y asegurarse de que el token es auténtico y no ha sido manipulado, necesita la clave secreta (para algoritmos HMAC) o la clave pública (para algoritmos RSA/ECDSA), lo que debe hacerse siempre en el entorno seguro del servidor.
En la Carga Útil encontrará los "reclamos" (claims), que son declaraciones sobre una entidad. Estos incluyen reclamos estándar como `iss` (emisor), `exp` (tiempo de expiración), `sub` (asunto) y `aud` (audiencia), así como reclamos personalizados definidos por la aplicación, como `userId`, `role` o `email`. Es importante no almacenar información sensible aquí, ya que la carga útil es decodificable por cualquiera.
Hay varias causas posibles: 1) El token puede estar malformado o incompleto (debe tener tres partes separadas por puntos). 2) Puede contener caracteres no válidos o haber sido truncado al copiarlo. 3) La codificación Base64Url puede ser incorrecta. Asegúrese de copiar el token completo, incluyendo todas las partes, y verifique que no tenga espacios o saltos de línea adicionales. Si el problema persiste, el token podría estar corrupto.
Para solo decodificar y visualizar el Encabezado y la Carga Útil, es generalmente seguro, ya que estas partes están solo codificadas (no encriptadas) y son legibles por cualquiera. Sin embargo, NUNCA debe introducir un JWT en una herramienta en línea que ofrezca validar la firma, ya que esto requeriría compartir su clave secreta. Para tareas de desarrollo e inspección, usar un decodificador local o esta herramienta de solo lectura es una práctica aceptable.
¿Cansado de dietas genéricas? Descubre cómo una app generadora de planes de dieta personalizados puede transformar tu nutrición. Te mostramos cómo funciona, casos reales y cómo empezar hoy.