Decodificador/depurador de JWT
Decodifique un token JWT para inspeccionar su header y su payload, y compruebe automáticamente si ha caducado (exp) o si aún no está activo (nbf). La decodificación se realiza íntegramente en su navegador: útil para depurar una sesión, sin enviar nunca el token a un servidor.
⚠ Atención: la firma NO se verifica. Esta herramienta decodifica el contenido del token y verifica únicamente las fechas exp/nbf declaradas en el payload. En ningún caso demuestra que el token sea auténtico ni que no haya sido modificado: la verificación criptográfica de la firma debe realizarse siempre en el servidor, con la clave secreta o pública del emisor.
Cómo funciona
Un JWT se compone de tres partes separadas por puntos: header.payload.signature. El header y el payload están codificados en Base64URL (no cifrados), por lo que cualquiera puede leerlos sin clave. Además de la simple decodificación, esta herramienta lee los claims estándar exp (expiración) y nbf («not before») y los compara con la hora actual de su dispositivo para indicar de inmediato si un servidor que respete la norma JWT aceptaría o rechazaría el token atendiendo únicamente a este criterio temporal.
¿Qué significan exactamente exp y nbf?
exp (expiración) es un timestamp Unix a partir del cual el token debe considerarse caducado. nbf («not before») es un timestamp antes del cual el token aún no debe aceptarse, útil para tokens programados para activarse más adelante. Ambos son opcionales: su ausencia significa que el propio token no impone ninguna restricción temporal de este tipo.
El token es válido aquí, ¿por qué mi API lo rechaza igualmente?
Porque esta herramienta solo comprueba la estructura y las fechas declaradas, nunca la firma. Una API también puede rechazar un token por otros motivos: firma inválida, emisor (iss) o audiencia (aud) incorrectos, token revocado en el servidor o claims de negocio ausentes. Ninguna de estas comprobaciones es posible sin acceso a la clave secreta o pública del emisor, que siempre es una operación del lado del servidor.
Privacidad: la decodificación y las comprobaciones de fechas se realizan íntegramente en su navegador mediante WebAssembly; el contenido del token, incluso si es sensible, nunca sale de su dispositivo.