Herramienta gratuita
Decodificador de JWT
Decodifica el header y payload de un JWT y revisa su expiración — nada sale de tu navegador.
Esto solo decodifica el token — no verifica la firma. Nunca confíes en estos datos sin validar el token en el servidor.
Un JWT (JSON Web Token) son tres partes codificadas en Base64url separadas por puntos: un header, un payload de claims, y una firma. El header y el payload solo están codificados, no cifrados — cualquiera que tenga el token puede leerlos, que es exactamente lo que hace esta herramienta, localmente.
La firma es lo que realmente prueba que el token es legítimo, y esta herramienta no la verifica — eso requiere el secreto o la clave pública del emisor, algo que ninguna herramienta del lado del cliente debería pedirte jamás. Trata un payload decodificado como “lo que el token dice ser”, no como “lo que ya se verificó”.
Cómo usarla
- 01Pega un JWT.
- 02Lee el header y payload decodificados como JSON formateado.
- 03Revisa la línea de expiración para ver si el token ya venció.
Preguntas frecuentes
¿El token se envía a algún lado?
No — se separa y decodifica en Base64url completamente en tu navegador. Nada se transmite, lo cual importa, porque los JWT suelen llevar datos de sesión o identidad.
¿Por qué esto no verifica la firma?
Verificar una firma requiere el secreto del emisor (para algoritmos HMAC) o la clave pública (para RSA/ECDSA) — secretos que nunca deberían pegarse en una herramienta web cualquiera. La verificación de firma le corresponde a tu servidor, con la clave real.
¿Puedo confiar en los datos del payload?
Solo después de que la firma haya sido verificada por quien deba confiar en el token — hasta entonces, el payload es solo lo que el token dice de sí mismo, algo que cualquiera pudo haber fabricado. Nunca tomes una decisión de autorización basada en un JWT sin verificar.
Herramientas relacionadas
Esto es lo que Purgify automatiza.
Conecta tus cuentas en la nube y Purgify encuentra duplicados y espacio recuperable como este — en todas a la vez, de forma programada.
¿Quieres acceso anticipado? Escríbenos a [email protected]