Decodificador de JWT Gratis Online

El Decodificador de JWT es una herramienta gratuita en línea que decodifica JSON Web Tokens para mostrar la información del encabezado, la carga útil y la firma en un formato legible.

Sí, es totalmente gratis y no requiere registro. Toda la decodificación se realiza del lado del cliente, en tu navegador, por lo que tus tokens nunca se envían a ningún servidor.

El Decodificador de JWT muestra el algoritmo, el tipo de token, el tiempo de expiración, el emisor, el sujeto y todas las reclamaciones personalizadas almacenadas en la carga útil del JWT.

Por supuesto. El Decodificador de JWT procesa todo del lado del cliente, en tu navegador. No se sube ni se almacena ningún dato en ningún servidor. Tu contenido permanece privado en tu dispositivo en todo momento.

Sí, el Decodificador de JWT es totalmente adaptable y funciona en smartphones y tablets. Puedes usarlo en cualquier dispositivo con un navegador web moderno, sin necesidad de descargar ninguna app.

No se necesita ninguna cuenta ni registro. Solo abre el Decodificador de JWT en tu navegador y empieza a usarlo de inmediato. No hay muros de registro ni restricciones de uso.

Simplemente introduce tus datos en el campo correspondiente, ajusta la configuración a tu gusto y la herramienta los procesará al instante. Luego puedes copiar el resultado al portapapeles o descargarlo.

El Decodificador de JWT funciona en todos los navegadores modernos, incluidos Chrome, Firefox, Safari, Edge y Opera. Para una mejor experiencia, usa la última versión de tu navegador preferido.

Leer un JWT es seguro porque el encabezado y el payload solo están codificados en Base64URL, no cifrados — cualquiera que tenga el token puede decodificarlos, así que inspeccionar los claims no revela nada que debiera permanecer secreto. El verdadero riesgo está en hacia dónde viaja el token: un token de acceso activo es una credencial en uso, por lo que pegarlo en un servicio que lo transmita a un servidor podría exponer tu sesión. Esta herramienta evita eso por completo decodificando todo localmente en tu navegador; el token nunca se sube, se registra ni se almacena de forma remota. Como precaución, decodifica únicamente tokens que estés autorizado a inspeccionar, trata cualquier token activo como una contraseña que no pegarías públicamente, y evita compartir la URL o una captura de pantalla del payload decodificado. Pega tu token arriba para ver sus claims decodificados al instante, totalmente del lado del cliente y sin que nada salga de tu dispositivo.

Decodificar y verificar son dos operaciones distintas. Decodificar simplemente aplica Base64URL al encabezado y al payload para que puedas leer los claims — no requiere ninguna clave y no demuestra nada sobre la autenticidad. Verificar significa recalcular la firma con el secreto o la clave pública del emisor y comprobar que coincide, lo cual es la única forma de saber que el token no fue alterado o falsificado. Este decodificador lee el token y muestra el segmento de firma en bruto como referencia, pero no lo comprueba criptográficamente, así que trata un payload decodificado como algo informativo, no como una prueba. Para verificar de verdad necesitas la clave de firma, que debe permanecer en tu backend. La pestaña Snippets ofrece código de verificación y firma listo para usar en Node.js, Python, Go, Java, PHP y Ruby para que puedas validar el token correctamente en tu propio servicio.

La expiración vive en el claim exp, una marca de tiempo Unix (segundos desde 1970) que indica el momento en que el token deja de ser válido. Dos claims relacionados definen la ventana: iat es cuándo se emitió el token y nbf es el momento más temprano en que puede usarse. Los números en bruto son difíciles de leer, así que este decodificador convierte exp, iat y nbf en fechas legibles y muestra un estado en vivo que indica si el token actualmente es válido, ha expirado o todavía no está activo. Eso hace evidentes en segundos los errores del tipo '¿por qué me da un 401?' — un exp expirado es una de las causas más comunes. Ten en cuenta que estas marcas de tiempo son de lectura pública y no están verificadas hasta que compruebas la firma, y que se registran en UTC, así que ten en cuenta tu propia zona horaria al leerlas. Pega tu token para ver sus horas de emisión, de no-antes-de y de expiración decodificadas en fechas claras de un vistazo.

Un JWT tiene tres partes separadas por puntos: header.payload.signature. El encabezado describe cómo está firmado el token — principalmente el alg (algoritmo de firma, como HS256 o RS256) y el typ (tipo de token). El payload lleva los claims: afirmaciones sobre el usuario o la sesión como iss (emisor), sub (sujeto), aud (audiencia), exp (expiración) y cualquier campo personalizado u OIDC que añada tu sistema. La firma, calculada a partir del encabezado y el payload usando una clave, es lo que permite a un servidor verificar que las otras dos partes no fueron alteradas. Este decodificador divide el token automáticamente, indica si el algoritmo es simétrico o asimétrico, y explica cada claim registrado en lenguaje sencillo. Como tanto el encabezado como el payload solo están codificados, nunca deben guardarse contraseñas ni secretos en ellos. Pega un token arriba para ver su encabezado y sus claims separados y descritos.

Sí — la pestaña Constructor te permite componer la estructura de un JWT con fines de prueba. Elige un algoritmo de firma, establece una expiración en minutos y añade tus propios claims, y la herramienta ensambla el encabezado y el payload correspondientes por ti. Es crucial que el resultado sea intencionalmente sin firmar: incluye un marcador de posición donde va la firma real, que tú generas en tu backend. Esto es deliberado, porque firmar en el navegador expondría tu secreto — una clave simétrica HS256, por ejemplo, debe permanecer en el servidor, o cualquiera que vea el código fuente de la página podría falsificar tokens válidos. Así que el Constructor es ideal para simular formas de tokens, prototipar conjuntos de claims o producir payloads de ejemplo para documentación, no para emitir credenciales de producción. Cambia a la pestaña Constructor para redactar la estructura de un token y luego fírmalo de forma segura en tu propio servicio.