Decodificador JWT

Decodificar e inspeccionar tokens web JSON al instante

El decodificador JWT es una herramienta en línea gratuita para decodificar, analizar e inspeccionar tokens web JSON (JWT). Vea instantáneamente el encabezado, la carga útil, la firma y las reclamaciones del token. Depure tokens de autenticación y autorización utilizados en OAuth 2.0, OpenID Connect y aplicaciones web modernas. Funciona completamente en su navegador con total privacidad: los tokens nunca se envían a nuestros servidores.

How to Use JWT Decoder

Decoding JWT tokens is simple and instant:

Step 1: Paste Your JWT Token
Paste your complete JWT token into the input field. JWT tokens typically start with 'eyJ' and contain three parts separated by dots (header.payload.signature).
Step 2: Automatic Decoding
The token is automatically decoded and parsed in real-time. No need to click any button - results appear instantly as you paste.
Step 3: Inspect Token Parts
View the decoded header (algorithm, type), payload (claims, expiration, issued-at), and signature. Each part is displayed in formatted JSON for easy reading and debugging.

All JWT decoding and parsing happens locally in your browser using JavaScript. Your tokens never leave your device and are never sent to our servers, ensuring complete privacy and security.

form.title

JWT Token Input

Casos de uso

usecases.intro

Depuración de autenticación API

Cuando las solicitudes API fallan debido a errores de autenticación, decodifica el JWT para verificar el tiempo de expiración, el emisor y los claims de audiencia para identificar la causa raíz.

Auditoría de seguridad

Inspecciona los JWTs utilizados en tu aplicación para verificar que los datos sensibles no están expuestos en el payload y que se utilizan algoritmos apropiados.

Desarrollo y pruebas

Durante el desarrollo, verifica rápidamente que los tokens generados contienen los claims, roles y permisos correctos antes de las pruebas de integración.

Análisis de expiración de tokens

Verifica los claims 'exp' e 'iat' para entender los períodos de validez de los tokens y solucionar problemas de timeout de sesión en tu aplicación.

Aprendizaje de la estructura JWT

Estudiantes y desarrolladores nuevos en JWT pueden visualizar la estructura de tres partes (cabecera, payload, firma) para entender mejor cómo funciona la autenticación basada en tokens.

¿Qué es JWT (JSON Web Token)?

JWT (JSON Web Token) es un estándar abierto (RFC 7519) para transmitir información de forma segura entre partes como un objeto JSON. Es compacto, seguro para URLs y ampliamente utilizado para autenticación e intercambio de información en aplicaciones web modernas.

Estructura de tres partes

Un JWT consta de tres partes separadas por puntos: Cabecera (algoritmo y tipo de token), Payload (claims y datos) y Firma (hash de verificación). Cada parte está codificada en Base64URL para una transmisión segura.

Casos de uso comunes

Los JWTs se utilizan principalmente para autenticación (sesiones de inicio de sesión), autorización (control de acceso) e intercambio seguro de información entre servicios. Son sin estado, eliminando la necesidad de almacenamiento de sesión del lado del servidor.

Consideraciones de seguridad

Aunque los JWTs están firmados para prevenir manipulaciones, el payload solo está codificado, no cifrado. Nunca almacenes datos sensibles como contraseñas en JWTs. Siempre verifica las firmas del lado del servidor y usa HTTPS para la transmisión.

Frequently Asked Questions (FAQ)

What is the difference between decoding and verifying a JWT?

Decoding means extracting and reading the header and payload from the token using Base64Url decoding - anyone can do this. Verifying means checking the signature to ensure the token wasn't tampered with - this requires the secret key or public key. Our tool only decodes tokens; signature verification must be done on your secure server.

Is it safe to paste my JWT token here?

Our tool processes tokens entirely in your browser - nothing is sent to servers. However, you should still be cautious with production tokens. For maximum security, only use test/development tokens, or use this tool offline by saving the webpage locally.

Why does my JWT start with 'eyJ'?

All JWTs start with 'eyJ' because the header JSON (typically {"alg":"HS256","typ":"JWT"}) begins with '{"' which Base64Url encodes to 'eyJ'. This is a reliable indicator that a string is a JWT token.

Can this tool verify JWT signatures?

No, signature verification requires the secret key (HMAC algorithms) or public key (RSA/ECDSA algorithms). Entering these keys into an online tool would be a serious security risk. Always verify signatures on your own secure servers using trusted libraries.

What does 'exp' mean in the payload?

The 'exp' (expiration) claim is a Unix timestamp indicating when the token expires. Tokens should be rejected after this time. For example, 'exp': 1735689600 means the token expires on January 1, 2025 at 00:00:00 UTC.

My token has three dots instead of two. Is it valid?

Standard JWTs have exactly two dots separating three parts (header.payload.signature). Extra dots indicate the token may be malformed, double-encoded, or not a standard JWT. Check your token generation code.

Can I use this tool for OAuth 2.0 tokens?

Yes! OAuth 2.0 access tokens and ID tokens (from OpenID Connect) are often JWTs. You can decode them to view user information, scopes, expiration times, and other claims. However, some OAuth providers use opaque tokens (random strings) which cannot be decoded.

What is the 'none' algorithm and why is it dangerous?

The 'none' algorithm means the token has no signature. If a server accepts tokens with 'alg': 'none', attackers can forge tokens by creating header/payload with any claims and no signature. Secure systems should always reject tokens with the 'none' algorithm.