¿Cómo decodifico un JWT?

Pega el token en el campo de entrada. La cabecera y el payload se decodifican y se formatean mientras escribes, y los claims de tiempo se muestran como fechas legibles.

¿Puede cualquiera leer el contenido de mi JWT?

Sí. La cabecera y el payload solo están codificados, no cifrados, así que cualquiera que tenga el token puede leerlos. Nunca pongas contraseñas ni otros secretos en el payload de un JWT.

¿Cómo verifico la firma de un JWT?

Para tokens HS256, HS384 o HS512, introduce el secreto en la sección Firma y elige si es texto plano o Base64. El decodificador vuelve a firmar la cabecera y el payload con ese secreto y te dice si el resultado coincide con la firma del token.

¿Por qué mi token dice "Firma no válida"?

O el secreto es incorrecto o está en el formato equivocado. Un secreto que tu biblioteca decodifica desde Base64 debe introducirse con Base64 seleccionado, o los bytes no coincidirán. Un token que se editó después de firmarlo también fallará.

¿Se envía mi token a un servidor?

No. La decodificación y la verificación se ejecutan en tu navegador, así que puedes pegar tokens de producción sin que salgan de tu dispositivo.

Decodificador JWT

Lee la cabecera y los claims de un token, comprueba su caducidad y verifica su firma. Todo se ejecuta localmente: no se sube nada.

Entrada: JWT
Salida: Header · payload · signature check

Token codificado

HS256

Firma

¿Necesitas un secreto? Genera uno

Cabecera

{
  "alg": "HS256",
  "typ": "JWT"
}

Payload

{
  "sub": "1234567890",
  "name": "Jane Doe",
  "iat": 1767225600,
  "exp": 1893456000
}

Lee un token sin fiarte de él

Un JWT son tres partes codificadas en Base64URL unidas por puntos: una cabecera que indica el algoritmo, un payload de claims y una firma de ambos. Cualquiera puede leer los dos primeros, por eso un token nunca debe contener nada secreto, y solo la firma demuestra que el token viene de alguien que conoce la clave.

Qué muestra el decodificador

Cabecera. El algoritmo de firma (alg) y el tipo de token, y a veces un ID de clave (kid) que indica qué clave lo firmó.
Payload. Los claims: de quién trata el token (sub), quién lo emitió (iss), para quién es (aud) y lo que añada tu aplicación.
Tiempos. iat, nbf y exp son segundos desde 1970. El decodificador los muestra como fechas en tu zona horaria e indica si el token ha caducado o aún no es válido.
Firma. Para HS256, HS384 y HS512, introduce el secreto y el decodificador recalcula la firma para decirte si coincide. Los tokens firmados con algoritmos RS, ES o PS se decodifican igual, pero verificarlos requiere la clave pública del emisor.

Preguntas frecuentes

¿Cómo decodifico un JWT?: Pega el token en el campo de entrada. La cabecera y el payload se decodifican y se formatean mientras escribes, y los claims de tiempo se muestran como fechas legibles.
¿Puede cualquiera leer el contenido de mi JWT?: Sí. La cabecera y el payload solo están codificados, no cifrados, así que cualquiera que tenga el token puede leerlos. Nunca pongas contraseñas ni otros secretos en el payload de un JWT.
¿Cómo verifico la firma de un JWT?: Para tokens HS256, HS384 o HS512, introduce el secreto en la sección Firma y elige si es texto plano o Base64. El decodificador vuelve a firmar la cabecera y el payload con ese secreto y te dice si el resultado coincide con la firma del token.
¿Por qué mi token dice "Firma no válida"?: O el secreto es incorrecto o está en el formato equivocado. Un secreto que tu biblioteca decodifica desde Base64 debe introducirse con Base64 seleccionado, o los bytes no coincidirán. Un token que se editó después de firmarlo también fallará.
¿Se envía mi token a un servidor?: No. La decodificación y la verificación se ejecutan en tu navegador, así que puedes pegar tokens de producción sin que salgan de tu dispositivo.

Las demás herramientas

Convertidor de datosConvierte texto estructurado entre JSON, YAML, TOML, CSV y Markdown.Generador de secretos JWTClaves secretas HS256, HS384 y HS512 aleatorias en hex o Base64, listas para tu .env.Generador de contraseñasContraseñas seguras y aleatorias con la fortaleza indicada en bits.Generador de datos de pruebaUsuarios, productos y pedidos falsos y realistas con tus propias columnas, en JSON, CSV o SQL.Conversor de imágenesRecodifica, redimensiona y vectoriza imágenes con una comparación antes/después en vivo.Comprimir y archivarReduce cualquier archivo con gzip o Brotli, o agrupa una carpeta en un ZIP.DOCX a PDFConvierte un documento de Word en un PDF con texto real y seleccionable.PDF a DOCXRecupera un documento de Word editable a partir de la capa de texto de un PDF.Eliminador de FondosRecorte automático con IA y herramientas manuales de precisión.Editor PDFFirme documentos, edite texto, inserte imágenes y tape contenido de PDFs directamente en su navegador.Conversor de mayúsculasConvierte texto a kebab-case, camelCase, snake_case, Title Case y diez formatos más.Generador de Lorem IpsumTexto de relleno por párrafos, frases o palabras, en texto plano o HTML.Imagen a ASCIIConvierte una foto en ASCII art, en blanco y negro o a todo color.