Decodificador de tokens JWT
Decodifica la cabecera y el contenido JSON de un JWT sin verificar su firma.
Guía paso a paso
Guía paso a paso
Comprender las partes legibles de un JWT.
- Considera la cabecera ficticia {"typ":"JWT"} y la carga útil {"sub":"demo-user"}. Son fragmentos JSON explicativos, no un token para pegar.
- Lee la explicación antes de ejecutar la herramienta por tu cuenta. Esta guía no carga ejemplos ni inicia inspecciones.
Ejemplo ilustrativo
Un JWT de tres partes contiene cabecera, carga útil y firma. El decodificador muestra las dos primeras como JSON e indica que la firma no está verificada.
Cómo interpretar el resultado
Decodificar no verifica la firma ni autentica. Las declaraciones no son fiables hasta que el sistema destinatario las valida correctamente. Esta herramienta no descifra JWE de cinco partes; nunca compartas un token de acceso real.
Esta guía educativa es estática. No rellena campos, genera valores, inspecciona el navegador ni lee su almacenamiento. Practica con datos ficticios que no sean secretos. Nunca compartas contraseñas, claves, tokens ni valores de cookies. Estas explicaciones no son una auditoría ni una certificación de seguridad.
Compartir esta herramienta
Solo se comparte el enlace público de la herramienta. Tus entradas y resultados se quedan aquí.
Mostrar enlace para copiarlo manualmente
Respuesta rápida
La herramienta decodifica las partes del JWT para mostrar sus datos.
El código de la página y sus recursos se cargan desde el sitio; las herramientas diseñadas para el procesamiento local gestionan los datos introducidos en el navegador.
Cómo usarla
Pega el token completo. Evita introducir tokens activos o confidenciales en un dispositivo compartido.
Límites
No verifica la firma, el emisor, la audiencia, la caducidad ni las declaraciones. Un token firmado no tiene por qué estar cifrado.
Preguntas frecuentes
¿Decodificar un JWT demuestra que es auténtico?
No. La decodificación solo lee las partes codificadas. La aplicación que lo recibe debe verificar la firma y las declaraciones pertinentes.
¿Por qué no se decodifican los tokens de cinco partes?
Un token compacto de cinco partes es un JWE cuyo contenido está cifrado. Esta herramienta solo lee la cabecera y el contenido JSON de los JWT firmados de tres partes; para descifrar un JWE hace falta la clave correspondiente.
¿El contenido de un JWT está cifrado?
No necesariamente. En general, cualquier persona que tenga un JWT firmado puede leer su contenido; el cifrado utiliza un formato de token distinto.
¿Por qué debería usar un token de prueba o caducado?
Si el JWT es un token de acceso bearer, cualquier persona que lo tenga puede usarlo para acceder a sus recursos. Este decodificador se ejecuta localmente, pero no verifica el token; usa herramientas confiables para credenciales activas.
Fuentes y referencias
- RFC 7519: token web JSON (JWT)
- RFC 7516: cifrado web JSON (JWE)
- RFC 8725: buenas prácticas actuales para los tokens web JSON
- RFC 6750: uso de tokens bearer en OAuth 2.0
Estas referencias documentan las normas y fuentes citadas; no validan el resultado de la herramienta.