Decodificar un token JWT
Pegue un token JWT para inspeccionar su header y su payload decodificados, algo práctico para depurar una autenticación. Procesamiento 100% local en su navegador (WebAssembly).
Atención: la firma NO se verifica. Esta herramienta solo decodifica el contenido del token (header y payload) para que pueda inspeccionarlo; en ningún caso demuestra que el token sea auténtico. No confíe nunca en un token basándose únicamente en su decodificación: la verificación criptográfica debe realizarse siempre en el servidor.
Cómo funciona
Un JWT (JSON Web Token) se compone de tres partes separadas por puntos: header.payload.signature. El header y el payload simplemente están codificados en Base64URL (no cifrados), lo que significa que cualquiera puede ver su contenido sin clave ni contraseña. Precisamente este es el uso típico de esta herramienta: pegar el token de autenticación que devuelve una API para comprobar rápidamente qué contiene realmente (fecha de expiración exp, rol de usuario, identificador, etc.) durante la depuración, sin tener que escribir código ni montar un backend.
¿Por qué el token «funciona» aunque lo haya modificado a mano?
Porque esta herramienta no verifica la firma: se limita a decodificar el Base64URL del header y del payload, exactamente igual que cualquier herramienta de inspección. Un servidor correctamente configurado, en cambio, recalculará la firma a partir del contenido y la comparará con la que se incluye en el token: un payload modificado sin la clave secreta correcta se rechazará en ese momento, aunque aquí se decodifique perfectamente.
¿Qué significa el campo exp del payload?
exp («expiración») es un timestamp Unix (segundos desde 1970) a partir del cual el token debe considerarse caducado. Un servidor que respete la norma JWT rechazará cualquier petición que use un token cuya hora actual supere este valor, con independencia de la validez de su firma.
Privacidad: la decodificación se realiza íntegramente en su navegador mediante WebAssembly; el contenido de sus tokens, aunque contengan datos sensibles, nunca sale de su dispositivo.