Decodificador de JWT
Utilidad práctica para decodificador de tokens jwt directamente en su navegador, con procesamiento local en memoria y sin enviar sus datos a servidores externos.
{
/* La cabecera aparecerá aquí */
} {
/* Las declaraciones del payload aparecerán aquí */
} Registered & Custom Claims Breakdown
| Claim | Valor | Description |
|---|---|---|
| Paste a JWT to inspect registered claims | ||
Signature & Security Audit
Acerca de Decodificador de JWT
Los tokens web JSON (JWT) son un estándar compacto y seguro para URL (RFC 7519) diseñado para transmitir afirmaciones (claims) entre partes en aplicaciones web. Su uso es omnipresente en los flujos modernos de autenticación con OAuth, OpenID Connect y gestión de sesiones.
Esta herramienta decodifica e inspecciona los segmentos de Encabezado (Header) y Carga útil (Payload) de un JWT sin transmitir el token por la red. Analiza las declaraciones estándar, formatea el JSON de la carga útil, compara las marcas de tiempo de expiración con su reloj local y muestra indicadores de estado visuales.
La ejecución en local garantiza que los tokens de sesión confidenciales, las direcciones de correo de los usuarios, las notificaciones de permisos y los identificadores de inquilino nunca queden expuestos ante servicios remotos de registro.
Para auditar tokens de seguridad, decodifique cadenas binarias mediante el codificador y decodificador Base64 y traduzca marcas de tiempo de caducidad con el conversor de épocas Unix.
Especificaciones de ingeniería y detalles de ejecución
Decodifica los segmentos en formato Base64Url en objetos JSON UTF-8 íntegramente en la memoria del cliente, sin ninguna transmisión de red.
Analiza afirmaciones registradas estándar del RFC 7519: exp (fecha de expiración), iat (emitido en), nbf (no antes de), sub (sujeto), iss (emisor), aud (audiencia) y jti (identificador de JWT).
Las marcas de tiempo se interpretan y comparan con Date.now() para generar distintivos de caducidad en tiempo real y cuentas regresivas de duración transcurrida o restante.
El resaltador visual de tokens segmentados divide los componentes mediante códigos de color diferenciados (Encabezado en rojo, Carga útil en morado, Firma en azul).
Formatea los objetos decodificados con sangría legible de dos espacios y función de copia al portapapeles con un solo clic.
Inspecciona los encabezados de algoritmos criptográficos (HS256, RS256, ES256) y advierte sobre tokens no seguros configurados con alg: "none".
Privacidad de datos y aislamiento en memoria
Toda la decodificación se ejecuta de manera estricta en su dispositivo dentro del motor JavaScript del navegador web local.
Ninguna carga útil de JWT, token portador (bearer token) o afirmación de usuario se envía a servidores remotos ni se guarda en cookies.
Casos de uso comunes en producción
- Desarrolladores de frontend que verifican declaraciones y roles de usuario devueltos por proveedores de autenticación como Auth0, Firebase o Supabase.
- Ingenieros de backend que depuran tiempos de espera de expiración de tokens y problemas de desajuste de reloj del sistema (clock skew).
- Analistas de control de calidad (QA) que inspeccionan tokens de sesión durante pruebas de integración y validación de API.
- Equipos de DevOps que validan tokens de identidad de cuentas de servicio en comunicaciones internas entre microservicios.
- Investigadores de seguridad que examinan los alcances de permisos de tokens y configuraciones de emisores autorizados.
Casos extremos y límites operativos
- Cero verificación de firma: Esta herramienta es un decodificador en el navegador, no un verificador criptográfico. Decodifica las declaraciones para que pueda leerlas, pero comprobar la validez de la firma requiere el certificado público o la clave secreta privada de su servidor de aplicaciones.
- Desajuste de reloj: Si el reloj del sistema de su ordenador no está bien sincronizado, el banner de expiración podría indicar incorrectamente que el token está vigente o vencido.
- Tokens mal formados: Los tokens que no contienen tres segmentos separados por puntos generarán una advertencia de sintaxis que detallará las partes faltantes.
- JWT anidados: Si la carga útil de un token contiene un token cifrado interno (JWE), únicamente será posible inspeccionar la estructura exterior.
Preguntas Frecuentes
¿Es seguro pegar tokens confidenciales en este decodificador?
Sí. Toda la decodificación se realiza exclusivamente en el motor JavaScript de su navegador local. Ningún token se sube, registra ni envía a ningún servidor bajo ninguna circunstancia.
¿Puede esta herramienta comprobar la firma criptográfica de mi token?
No. La verificación de la firma requiere su clave secreta privada (para HMAC) o su certificado público (para RSA), elementos que nunca deben introducirse en utilidades web públicas.
¿Por qué un JWT se divide en tres partes?
Un JWT estándar está compuesto por tres secciones separadas por puntos: Encabezado (Header, detalles del algoritmo), Carga útil (Payload, datos del usuario y declaraciones) y Firma (Signature, prueba criptográfica de autenticidad).
¿Cómo se almacenan los tiempos de expiración en un JWT?
La declaración "exp" almacena una marca de tiempo Unix que representa el número exacto de segundos transcurridos desde el 1 de enero de 1970 en horario UTC.
¿Cuál es la diferencia entre HS256 y RS256?
HS256 utiliza una clave secreta simétrica compartida tanto para firmar como para verificar los tokens. RS256 emplea un par de claves asimétricas: una clave privada firma el token y una clave pública lo valida.
¿Qué significa la declaración "nbf"?
La declaración "nbf" (Not Before, no antes de) especifica la fecha y hora exacta a partir de la cual el token JWT puede ser aceptado para su procesamiento por el servidor.
¿Se puede decodificar un JWT que ya haya caducado?
Sí. La expiración no altera la estructura del token ni impide su decodificación; únicamente informa a los servidores de verificación de que el token ya no posee validez temporal.
¿Cuál es el riesgo de seguridad del parámetro alg: "none"?
El algoritmo "none" denota un token no asegurado sin firma digital. Si una API de backend admite tokens con alg: "none", un atacante podría falsificar declaraciones administrativas arbitrarias sin necesidad de firmar el contenido.
¿Cómo se solucionan los errores imprevistos 401 Unauthorized con un JWT?
Inspeccione el token en esta herramienta: verifique si la marca de tiempo de la declaración exp ha vencido, revise que los valores de iss (emisor) y aud (audiencia) coincidan con los exigidos por la API y compruebe que los roles o alcances requeridos figuren en la carga útil.