¿Qué es el decodificador JWT?
El decodificador JWT analiza los JSON Web Tokens en sus tres partes para que puedas inspeccionar el encabezado, las declaraciones de la carga útil, el algoritmo y el segmento de firma. Es útil para depurar la autenticación, comprobar la caducidad y entender qué contiene realmente un token sin enviarlo a un servidor.
Cómo usar el decodificador JWT
- Pega el JWT en el área de entrada.
- Revisa las secciones decodificadas del encabezado y la carga útil.
- Inspecciona declaraciones como exp, iss, aud, sub y campos personalizados.
- Copia los valores decodificados o compáralos con lo que esperas en tu flujo de autenticación.
Entiende los JWT ▾
Ejemplo
Casos de uso comunes
- Inspecciona los claims del token durante la depuración de API y autenticación
- Comprueba los valores de expiración, emisor, audiencia y sujeto sin herramientas de backend
- Confirma qué algoritmo de firma y estructura de token está usando un sistema
- Enseña cómo encajan los segmentos de encabezado, payload y firma de un JWT
Por qué usar esta herramienta
- Ayuda a depurar flujos de inicio de sesión, autorización de API y problemas de expiración de tokens.
- Facilita explicar la estructura de JWT a compañeros de equipo y partes interesadas.
- Se ejecuta localmente, así que los tokens pegados no se suben durante la inspección.
Preguntas frecuentes
Sí. La decodificación se ejecuta completamente en tu navegador y el token nunca se envía a un servidor. Dicho esto, evita pegar tokens de producción con claims sensibles en cualquier herramienta pública a menos que estés seguro de que es solo del lado del cliente.
No. La verificación de la firma requiere el secreto (HMAC) o la clave pública (RSA/EC). Esta herramienta solo decodifica el encabezado y el payload codificados en Base64URL; la verificación debe realizarse en tu servidor.
El claim exp es una marca de tiempo Unix que indica cuándo deja de ser válido el token. Si la hora actual supera esa marca de tiempo, el servidor rechazará el token y tendrás que volver a autenticarte.
Las cookies de sesión almacenan un ID de sesión en el servidor y lo consultan en cada solicitud. Los JWT son autocontenidos: todos los claims están en el propio token, así que no se necesita almacenamiento de sesión en el servidor. Esto hace que los JWT sean útiles en sistemas distribuidos y sin estado.