Herramientas · Texto · Decodificador de JWT
Decodificador de JWT
Decodifica el header y el payload de un JWT a JSON legible, por completo en tu navegador - exp, iat y nbf se muestran como fechas reales en vez de números epoch, y la firma se muestra tal cual se recibió, nunca se verifica.
Añade un archivo y ejecuta la herramienta.
Tu archivo está listo.
Prueba otro archivo, o inténtalo de nuevo.
Ajustes
Ajusta la configuración de abajo. El resultado se actualiza sobre la marcha.
Funciona por completo en tu navegador. No se sube ningún archivo.
Funciona por completo en tu navegador. Nada se sube nunca a un servidor.
Cómo funciona
Pega tu JWT.
Lee el header, el payload y la fecha de caducidad.
Copia la parte que quieras.
Preguntas frecuentes
No. Cada JWT se decodifica por completo en tu navegador - nada se envía a ningún sitio.
No, y nunca lo hará. Verificar una firma necesita el secreto o la clave pública que emitió el token, y pedírselo a un visitante en una página pública es exactamente el hábito que esta herramienta evita. La firma se muestra tal cual se recibió, nunca se comprueba.
No. El payload de un JWT es Base64 legible, no cifrado. Cualquiera que tenga el token ya puede leerlo sin ninguna herramienta - por eso existe esta página: para dejar ese hecho claro, no para ocultarlo.
Tan seguro como decodificarlo a mano, y no más que eso - nada se sube ni se guarda. Pero un token decodificado sigue siendo una credencial: no lo compartas, y no pegues un token de producción real en ninguna herramienta en la que no confíes, incluida esta.
Guías
Una mirada más de cerca a problemas concretos que resuelve esta herramienta.
Why APIs Traded Server-Side Sessions for a Signed Token
A server-side session is simple and instantly revocable, but it needs a lookup every single server can reach on every request. A JWT trades that lookup for a signature - and gives up instant revocation to get it.
Leer la guíaHow to Check Whether a JWT Has Expired, Without Doing the Epoch Math Yourself
A JWT's exp claim is a raw Unix timestamp - meaningless at a glance. Paste a token and the expiry, not-before, and issued-at claims come back as real dates with a plain valid/expired/not-yet-valid label, no manual conversion required.
Leer la guíaDebugging a 401 by Reading What Your JWT's Claims Actually Say
A request that worked five minutes ago now returns 401, and the token looks fine at a glance. The fastest way to find out what changed is to decode it and read the claims in order, not guess.
Leer la guía
Comentarios