Pega un token para ver su cabecera, su payload, sus claims y su caducidad.
Sobre el decodificador JWT
Decodifica un JSON Web Token y lee su cabecera y su payload en claro. Un JWT contiene tres segmentos codificados en Base64url (cabecera, payload y firma) separados por puntos. Esta herramienta los separa y los decodifica en tu navegador, y muestra claims como el emisor, el sujeto, la caducidad o la fecha de emisión como valores legibles. No se transmite nada, algo imprescindible cuando el token que estás depurando es una credencial en uso.
Cómo usar el decodificador JWT
-
Pega el token
Pega el JWT completo, con sus tres segmentos separados por puntos. Si el token está mal formado, la herramienta te lo indica en lugar de mostrar en silencio un resultado parcial.
-
Lee la cabecera y el payload
La cabecera muestra el algoritmo de firma y el tipo de token. El payload enumera todos los claims, con los timestamps exp, iat y nbf convertidos en fechas legibles.
-
Verifica la firma
Introduce el secreto compartido para los tokens de la familia HS256, o la clave pública PEM del emisor para los tokens RS, PS y ES, y confirma que nadie ha alterado el token.
Casos de uso
Depurar la autenticación
Averigua si una petición falla porque el token ha caducado o porque un claim no coincide con lo que exige la API.
Revisar scopes y roles
Confirma qué permisos ha concedido realmente un proveedor de identidad a un usuario.
Comprobar la configuración del token
Verifica que el algoritmo, el emisor y la audiencia de un token recién emitido coinciden con la configuración que esperas.
Preguntas frecuentes
¿Mi token se envía a un servidor?
No. La decodificación es un simple análisis de Base64url que se hace en tu navegador. Es la propiedad más importante de un decodificador JWT, porque un token pegado en una herramienta que lo procesa en un servidor es una credencial filtrada.
¿Verifica la firma?
Sí, si le das la clave: el secreto compartido para HS256, HS384 y HS512, o la clave pública PEM para los algoritmos RS, PS y ES. La verificación se hace en tu navegador con la API Web Crypto. Sin clave, la herramienta solo decodifica: te dice lo que afirma el token, pero no si sus claims son auténticos.
¿El payload del JWT está cifrado?
No. El payload solo está codificado en Base64url, así que cualquiera que tenga el token puede leer todos sus claims. No pongas nunca contraseñas ni datos personales sensibles en el payload de un JWT.
¿Qué significan exp, iat y nbf?
exp es la fecha de caducidad, iat el momento en que se emitió el token y nbf el momento a partir del cual es válido. Los tres son timestamps Unix en segundos, que aquí se muestran como fechas legibles.
¿Por qué no se decodifica mi token?
Normalmente se debe a una copia incompleta, a un segmento que falta o a un prefijo «Bearer » incluido por error al principio. Un JWT necesita exactamente tres segmentos Base64url separados por puntos.
Herramientas relacionadas
Explora todas las herramientas online gratis de Tooly: todas funcionan en tu navegador y ninguna necesita cuenta.