Decodificador JWT
Decodifica un JWT, lee sus claims y su caducidad y verifica la firma en tu navegador.
Funciona por completo en tu navegador. Nada de lo que pegues aquí se envía a ningún sitio.Privado- Cabecera
- Payload
- Firma
Token codificado
Decodificado
Sobre esta herramienta
Pega un token y se separa y decodifica mientras escribes: la cabecera en rojo, el payload en morado y la firma en azul, tanto en el texto pegado como en la parte decodificada. La cabecera y el payload se muestran como JSON formateado, y cada claim aparece con lo que significa —iss, sub, aud, los claims de perfil de OpenID Connect, los ID de Microsoft Entra— con exp, nbf e iat convertidos en fechas de tu zona horaria. Arriba, unas etiquetas dicen de un vistazo si el token ha caducado, cuánto dura y si se ha verificado la firma.
Para verificar la firma, pega el secreto si es HS256, HS384 o HS512 —como texto, Base64 o hexadecimal— o la clave pública si es RS, PS, ES o EdDSA. La clave puede ser una clave pública PEM, un certificado X.509, una clave privada (solo se usa su parte pública), un JWK suelto o un JWKS completo, del que se elige la clave cuyo kid coincide con el del token. El botón de ejemplo carga un token recién firmado con su secreto, para que veas una verificación correcta y luego la rompas.
Si un token no se puede decodificar, el error se indica por línea y columna y el carácter culpable queda subrayado en su sitio: un carácter que se coló al copiar, una parte que falta, una cabecera que no es JSON. Los tokens pegados con «Bearer» delante, entre comillas o partidos en varias líneas se leen tal cual. Los tokens cifrados (JWE) se reconocen y se muestra su cabecera, y se avisa de los tokens sin firmar con alg «none» y de las fechas escritas en milisegundos.
Nada de lo que pegas se transmite. La página es HTML estático, la decodificación es JavaScript sin más y la firma se comprueba con el Web Crypto de tu propio navegador, así que los tokens de producción y los secretos de firma no salen de la pestaña, que es lo que hace que un depurador de JWT sea seguro de usar.
Preguntas frecuentes
¿Es seguro pegar aquí un token o un secreto de producción?
Sí. La decodificación y la verificación se hacen por completo en tu navegador, y la página no tiene backend al que enviar nada: puedes desconectarte de la red y sigue funcionando. El secreto o la clave que pegas para verificar tampoco se guarda, ni siquiera en tu navegador, así que desaparece al cerrar la pestaña.
¿Qué algoritmos puede verificar?
HS256, HS384 y HS512 con un secreto compartido; RS256, RS384 y RS512; PS256, PS384 y PS512; ES256, ES384 y ES512; y EdDSA con claves Ed25519. La verificación usa el Web Crypto que trae tu navegador, así que ES256K y Ed448, que no implementa, se decodifican pero no se verifican.
¿En qué formatos acepta la clave?
Para HMAC, el secreto como texto, Base64 o hexadecimal, o un JWK de tipo oct. Para los demás, una clave pública PEM (SPKI o PKCS#1), un certificado X.509, una clave privada PEM en formato PKCS#8, PKCS#1 o SEC1, un JWK suelto o un JWKS. Con un JWKS se usa la clave cuyo kid coincide con la cabecera del token; si no hay kid, se prueban todas las del tipo adecuado.
¿Por qué se decodifica un token aunque su firma no sea válida?
Porque la cabecera y el payload solo van codificados en Base64url, no cifrados: cualquiera que tenga el token puede leerlos. La firma es lo que demuestra quién lo emitió y que no se ha modificado, y solo una comprobación con la clave correcta dice algo de eso. Nunca te fíes de los claims de un token que tu servidor no haya verificado.
¿Puede descifrar tokens cifrados (JWE)?
Todavía no. Un token de cinco partes se reconoce como JWE y se decodifica su cabecera —los algoritmos de gestión de clave y de cifrado del contenido—, pero los claims van dentro del texto cifrado y para leerlos hace falta la clave privada del destinatario.
¿Es gratis de verdad?
Sí, sin cuenta y sin límite de uso. El sitio se financia con anuncios colocados alrededor de la herramienta, nunca dentro de tu zona de trabajo.