Entrada
Preparando tu espacio de trabajo…
Cómo usarlo
- Pega un token de tres partes, con o sin prefijo Bearer.
- Revisa el JSON decodificado y las fechas de claims.
- Copia una sección JSON o descarga los datos decodificados.
Qué revela decodificar un JWT
El header y payload de un JWS compacto contienen datos codificados en Base64url. Decodificarlos permite leerlos sin obtener una clave de firma.
Poder leer los claims no prueba su autenticidad. Úsalos para investigar estructura y fechas y verifica la confianza y los requisitos en el sistema que consume el token.
Leer las partes
El header puede indicar el algoritmo declarado y el payload contiene los claims. La firma sigue codificada; mostrarla no demuestra quién firmó el token.
exp, nbf e iat se muestran en UTC y hora local del navegador. Los indicadores de caducidad comparan fechas, no validan la confianza.
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJkZXYtMTIzIiwibmFtZSI6IkFkYSIsInJvbGUiOiJkZXZlbG9wZXIiLCJpYXQiOjE3NjcyMjU2MDAsImV4cCI6MTc5ODc2MTYwMH0.ZGVtby1zaWduYXR1cmU{"sub":"dev-123","name":"Ada","role":"developer","iat":1767225600,"exp":1798761600}Solo datos de ejemplo. Debes comprobar los valores, la autenticación y el comportamiento del endpoint en tu propio contexto.
Formatos y verificación
No se admiten JWE cifrados de cinco partes. No se buscan claves, contacta con el emisor ni verifica la firma, aunque el header declare un algoritmo conocido.
Exportar datos decodificados
Copiar exporta el JSON del header o payload elegido. Descargar JSON incluye las secciones y la firma codificada. Trata los claims exportados con el mismo cuidado que el token original.
Las herramientas locales admiten hasta 1 MiB, URL de hasta 64 KiB y 5 segundos de procesamiento. Las solicitudes API admiten 100 headers y 100 filas de parámetros, un tiempo de espera de 1–120 segundos y hasta 5 MiB de datos de respuesta recibidos. Las vistas de texto largas se abrevian. Las solicitudes van directamente al endpoint elegido; se aplican CORS y las políticas del navegador.
Preguntas frecuentes
¿Decodificar verifica la firma?
No. Un token modificado o no confiable puede decodificarse. La aplicación debe verificar su firma y los claims que requiera.
¿Qué significan exp, nbf e iat?
Son valores NumericDate en segundos Unix: caducidad, no válido antes de y fecha de emisión. Las fechas ayudan a investigar, no constituyen una verificación.
¿Puedo pegar el valor de un header Bearer?
Sí. Se acepta el prefijo Bearer antes del token compacto.
¿Puede descifrar un JWT cifrado?
No. Los JWE de cinco partes requieren descifrado y no se admiten en este decodificador JWS de tres partes.
¿Se envía el token al emisor o a DevToolsy?
No. Se decodifica localmente, sin contactar con el emisor ni solicitar claves de firma.