Inspecciona el encabezado, carga útil (payload) y firma de tokens JWT, calculando vigencia y expiración.
{} {} -
Inspecciona el encabezado, carga útil (payload) y firma de tokens JWT, calculando vigencia y expiración. Úsala para trabajo diario, desarrollo, aprendizaje o comprobaciones rápidas.
Esta herramienta funciona en tu navegador. Antes de usar datos sensibles, comprueba que confías en tu dispositivo y navegador.
Un JWT (JSON Web Token) es el formato de credencial más común para autenticar APIs. Está formado por tres cadenas separadas por puntos. La cabecera indica el algoritmo de firma (como HS256 o RS256) y el tipo. La carga útil (payload) contiene claims como el ID de usuario, los roles y la caducidad. La firma la calcula el servidor sobre las dos primeras partes con una clave y demuestra que no se han manipulado. Las dos primeras partes solo están codificadas en Base64URL, no cifradas.
Pega un token y la herramienta decodifica al instante la cabecera y el payload en JSON formateado, mostrando la firma tal cual. Los claims de tiempo más comunes se convierten a hora local legible: exp es la caducidad, iat la fecha de emisión y nbf el momento desde el que es válido (antes no debe aceptarse). Además, usa exp para indicar si el token ha caducado. Es muy útil para depurar el inicio de sesión, revisar roles o averiguar por qué los usuarios se desconectan.
Un punto importante: decodificar no es verificar. La herramienta no comprueba la firma con ninguna clave y cualquiera puede falsificar un payload de aspecto legítimo. Tu back-end debe verificar la firma, el algoritmo y exp con una biblioteca fiable y rechazar tokens con alg igual a none. Y como cualquiera puede leer el payload, nunca incluyas contraseñas, números de documento ni otros datos sensibles en un JWT.
Un token es una credencial de acceso: pegarlo en una web desconocida equivale a entregar el acceso a la cuenta. Esta herramienta decodifica íntegramente en tu navegador y nunca envía ni registra el token. Aun así, con sistemas en producción conviene usar tokens caducados o de entornos de prueba.
Un JWT típico (JWS) está firmado, no cifrado. La cabecera y el payload están en Base64URL y cualquiera puede decodificarlos.
No. Solo decodifica y muestra el contenido. La verificación necesita la clave y debe hacerse en el back-end con una biblioteca fiable.
exp es la caducidad, iat la fecha de emisión y nbf el inicio de validez. Los tres son segundos Unix y aquí se muestran en hora local.
La decodificación se hace en tu navegador y el token no se sube. Aun así, es una credencial: usa tokens de prueba o caducados con sistemas en producción.
Ver esta categoría: Desarrollo y código
Codifica y decodifica cadenas de texto en Base64 y URL al instante, con cálculo de hashes MD5 y SHA-256.
Codifica y decodifica direcciones URL y parámetros con encodeURI o encodeURIComponent.
Genera UUID v4 o v7 ordenados por tiempo en lote con opciones de formato y mayúsculas.
Embellece, comprime, valida sintaxis y localiza errores en archivos y textos JSON.
