¿Qué es un JWT y qué muestra la decodificación?
Un JSON Web Token son tres partes en base64url unidas por puntos: header.payload.signature. El header indica el algoritmo de firma, el payload contiene las claims como sub, exp e iat, y la firma demuestra que las dos primeras partes no se alteraron. Decodificar es simplemente decodificar en base64url las dos primeras partes — cualquiera puede hacerlo y nunca hace falta una clave.
Un token que empieza por eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 se decodifica al header {"alg":"HS256","typ":"JWT"}. Su payload, por ejemplo {"sub":"42","exp":1735689600}, muestra al usuario 42 con caducidad el 1 de enero de 2025. La tercera parte es la firma: aquí se muestra, pero no se verifica. Sin el secreto HMAC o la clave pública RSA/ECDSA, esta herramienta de navegador no puede demostrar que la firma sea auténtica, así que nunca trates un token decodificado como fiable.
Cómo decodificar un JWT
- Pega el token completo en el campo JWT.
- Lee el Header y el Payload decodificados como JSON.
- Comprueba exp e iat, que se muestran como fechas legibles y se marcan si el token ha caducado.
- Copia cualquier parte o limpia el campo para probar otro token.
Preguntas frecuentes sobre decodificar JWT
¿La herramienta verifica la firma?
No. Solo decodifica y muestra el header, el payload y la firma. La verificación necesita el secreto o la clave pública, que este decodificador de navegador nunca recibe a propósito.
¿Es seguro pegar un token aquí?
La decodificación ocurre por completo en tu navegador y no se sube nada. Aun así, evita pegar tokens de producción en cualquier herramienta online: un token real es una credencial activa.
¿Qué significan exp e iat?
Ambos son marcas de tiempo Unix en segundos: iat es cuándo se emitió el token y exp cuándo caduca. La herramienta las convierte en fechas y marca el token caducado.
