Herramientas HTML

Gratis Decodificador JWT e Inspector de Claims

Decodifique tokens JWT para inspeccionar el encabezado, los claims del payload y las marcas de tiempo. Toda la decodificación ocurre localmente – ningún token se envía a ningún servidor.

Cargando herramienta...

Qué es Decodificador JWT e Inspector de Claims?

Un decodificador JWT basado en navegador que decodifica el encabezado y el payload de los JSON Web Tokens sin enviar datos a ningún servidor. Inspeccione claims como sub, iat, exp y nbf con conversión automática de marcas de tiempo a fechas legibles. La herramienta advierte sobre algoritmos inseguros (alg: none) y explica el estado de verificación de la firma.

Respuesta rápida

Pegue un token JWT para decodificar su encabezado y payload. Las marcas de tiempo (iat, exp, nbf) se convierten automáticamente a fechas legibles. Toda la decodificación es local – su token nunca se carga.

Limitaciones

No verifica firmas JWT – esta herramienta es solo para inspección, no para validación de seguridad. Nunca confíe en claims decodificados sin verificación del lado del servidor.
No puede decodificar JWTs cifrados (JWE) – solo se admiten JWTs firmados (JWS) con payloads codificados en base64url.
La conversión de marca de tiempo usa la zona horaria local del navegador – la hora mostrada puede diferir de la zona horaria del servidor.

Cómo usar esta herramienta

Pegue su token JWT en el área de entrada.
Revise el encabezado decodificado (algoritmo, tipo) y el payload (claims).
Verifique los campos de marca de tiempo para la expiración y la hora de emisión en formato legible.
Tome nota de cualquier advertencia de seguridad sobre algoritmos débiles.

Para qué puedes usarla

Inspeccione rápidamente un JWT de una respuesta API para verificar el ID de usuario, roles y tiempo de expiración.
Depure un flujo de autenticación verificando si el token ha expirado o contiene los claims esperados.
Verifique el algoritmo del token antes de implementar la verificación del lado del servidor.

Casos de uso

Ejemplos prácticos

Ejemplo

Inspeccionar un token de acceso API

Un desarrollador frontend recibe un JWT de un flujo OAuth. Lo pega en el decodificador para ver el ID de usuario (claim sub), tiempo de expiración (exp) y tiempo de emisión (iat) en formato legible antes de usar el token para llamadas API.

Ejemplo

Depurar un problema de token expirado

Un usuario reporta haber sido desconectado inesperadamente. El desarrollador decodifica el JWT y ve la marca de tiempo exp convertida a hora local – el token expiró hace 5 minutos. Ajusta la lógica de actualización del token en consecuencia.

Errores comunes

Asumir que la decodificación JWT significa que el token está verificado – la decodificación solo lee el contenido, no valida la firma. Cualquiera puede decodificar un JWT sin una clave.
Confiar en los claims JWT sin verificar la firma en producción – siempre verifique la firma del lado del servidor antes de confiar en los claims.
Olvidar que el payload JWT está codificado en base64url (no cifrado) – los datos sensibles nunca deben almacenarse en claims JWT.

Verificación

Pegue el token JWT predeterminado y verifique que el encabezado muestre alg: HS256 y typ: JWT.
Verifique que el payload muestre name: John Doe y que las marcas de tiempo se conviertan a fechas legibles.

FAQ

Preguntas sobre Decodificador JWT e Inspector de Claims

¿Esta herramienta verifica las firmas JWT?

No. Esta herramienta decodifica el encabezado y el payload solo para inspección. La verificación de la firma requiere la clave secreta o pública, que nunca debe ingresarse en una herramienta de navegador. Para la verificación de firmas, use una biblioteca del lado del servidor como jsonwebtoken (Node.js) o PyJWT (Python).

¿Mis tokens se envían a un servidor?

No. Toda la decodificación ocurre en su navegador usando JavaScript. El token nunca sale de su máquina. Puede verificar esto desconectándose de Internet después de cargar la página – la herramienta continuará funcionando.

¿Cuál es la diferencia entre iat, exp y nbf?

iat (Issued At) es cuándo se creó el token. exp (Expiration) es cuándo el token se vuelve inválido – después de este tiempo, el token debe ser rechazado. nbf (Not Before) es un tiempo antes del cual el token no debe ser aceptado. Todos son marcas de tiempo Unix en segundos.

Herramientas relacionadas