Decodificador JWT e inspector online gratis

Pega el token en el cuadro de arriba. Se divide por los dos puntos y las dos primeras partes se decodifican de Base64url a JSON. El encabezado y el payload aparecen al instante, junto con el algoritmo y las fechas exp e iat, si las hay.

Sí. El encabezado y el payload solo están codificados en Base64url, no cifrados, así que cualquiera que tenga el token puede leerlos. La clave secreta o privada hace falta para firmar o verificar un token, no para leer sus claims, y por eso los tokens no deberían contener contraseñas.

Decodificar lee los claims. Verificar vuelve a calcular la firma con el secreto (HS256) o la clave pública (RS256, ES256) para demostrar que nadie los ha modificado. Esta herramienta solo decodifica, así que no confíes en un token en tu app hasta que el código del servidor lo verifique con una librería JWT.

Un token válido se decodifica en tu navegador y nunca se envía a PixConvert. Las analíticas registran clics como Copiar y el tiempo que tardó una decodificación. Si un token está dañado, también se envía el texto del error, y en Chrome puede citar unos pocos caracteres decodificados. Lo más seguro es pegar tokens expirados o de prueba.

exp es la hora de caducidad en segundos desde el 1 de enero de 1970 (hora Unix). Este decodificador la muestra como una fecha en tu zona horaria local y marca el token como Expirado cuando ese momento ya ha pasado. Un token sin exp aparece como Activo.

Activo solo significa que la hora de exp aún no ha pasado, o que el token no tiene exp. La herramienta no comprueba la firma, nbf (not before), el emisor ni la audiencia, así que un token falsificado o que aún no es válido puede seguir mostrándose como Activo. Revisa tú mismo esos claims.

El decodificador necesita exactamente tres partes separadas por dos puntos. Quita la palabra Bearer y las comillas, y comprueba que la copia no se haya cortado. Los tokens JWE cifrados tienen cinco partes y no se pueden decodificar sin la clave.

Sí. La decodificación funciona igual con cualquier algoritmo, y el valor alg del encabezado, como HS256, RS256, ES256 o none, se muestra en la barra de estado. Solo necesitas conocer el algoritmo cuando verificas la firma en tu propio código.

Un ID token siempre es un JWT e indica a tu app quién ha iniciado sesión, con claims como sub, email y name. Un access token permite a un cliente llamar a una API y puede ser un JWT o una cadena opaca. Aquí solo se pueden decodificar los tokens en formato JWT.

La firma es la salida binaria de HMAC, RSA o ECDSA, escrita como texto Base64url. Por sí sola no tiene un significado legible y solo demuestra que el encabezado y el payload no se han modificado. El decodificador la muestra como texto y no la comprueba.

Por ahora, el decodificador lee los bytes del payload uno por uno en lugar de como UTF-8, así que José aparece como José y los emoji se convierten en símbolos extraños. El token en sí está bien. Los claims en ASCII simple, como sub, iat y exp, no se ven afectados.