Decodificador JWT
Pega un JSON Web Token para inspeccionar su header y payload. El decodificador funciona en tu navegador, el token no se envía a ningún sitio.
Útil al depurar APIs, inspeccionar tokens de OAuth u OpenID o revisar las claims de un access token.
Cabecera
Decoded header will appear here.
Payload
Decoded payload will appear here.
Resumen de claims
Solo decodifica — sin verificación de firma
Esta herramienta solo decodifica el header y el payload del token. No verifica la firma, porque la verificación requiere el secreto o la clave pública, y hacerlo en el navegador no tiene sentido — lo que pegas aquí ya está expuesto al usuario. Trata el resultado como informativo.
¿Qué es un JWT?
Un JSON Web Token (RFC 7519) es una cadena compacta de tres secciones codificadas en Base64url separadas por puntos: header.payload.signature. El header indica el algoritmo de firma, el payload lleva los claims, y la firma permite al servidor demostrar que el token no fue manipulado.
Ejemplos
A minimal HS256 token with a single sub claim:
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIn0.dozjgNryP4J3jVmNHl0w5N_XgL0n3I9PlFUP0THsR8U
Preguntas frecuentes
¿Esta herramienta verifica la firma?
No. Solo decodifica header y payload. La verificación de firma requiere el secreto o la clave pública y debe ocurrir en un servidor de confianza, no en el navegador.
¿Se envía mi token a un servidor?
No. El decodificador funciona enteramente en tu navegador. El token se parsea localmente y nunca sale de tu dispositivo.
¿Qué significan exp, iat y nbf?
Son claims registrados estándar: iat es el momento de emisión, nbf el momento «no antes de», y exp el momento de expiración. Los tres son timestamps Unix en segundos.
¿Por qué mis caracteres Base64 son distintos del Base64 normal?
JWT usa Base64url, que reemplaza + por -, / por _ y elimina el padding =. El decodificador maneja esto automáticamente.