ES

Decodificar JWT: leer y verificar un JSON Web Token

Para decodificar un JWT, pega el token: la herramienta muestra lo que contiene un JSON Web Token – cabecera, payload y firma, con emisor, caducidad y validez en claro. Si introduces el secreto o la clave pública, incluso verifica la firma. El token no sale de tu navegador.

Fuente: §§ 2, 4.1 (Claims, NumericDate), IETF RFC 7519 – JSON Web Token (JWT). Actualizado: .

Pega el token; «Bearer » delante es válido. Tiene tres partes separadas por puntos.

Tu texto se queda en tu navegador: no se envía, no se guarda y no aparece en la dirección de la página.

HS256/384/512: el secreto como texto. RS/PS/ES: clave pública en PEM («BEGIN PUBLIC KEY») o JWK. La clave se queda en tu navegador.
Solo para HS256/384/512: el secreto se decodifica antes de verificar (habitual con claves generadas). Si no, se usa el texto tal cual.
Mi caja de herramientasTus datos se guardan solo en este navegador.

Resultado

Estado
Formato JWT válido – algoritmo HS256
Firma
Válida ✓: la firma coincide con la clave introducida.
Cabecera
{ "alg": "HS256", "typ": "JWT" }
Payload
{ "sub": "1234567890", "name": "Lucía García", "iss": "https://beispiel.example", "iat": 1516239022, "exp": 4102444800 }
Fechas (UTC)
Emitido (iat): 2018-01-18T01:30:22Z Caduca (exp): 2100-01-01T00:00:00Z – dentro de 73 años
Claims conocidos
Emisor (iss): https://beispiel.example Sujeto (sub): 1234567890

Cómo se calcula

Un JSON Web Token (JWT) transporta declaraciones (claims) entre dos partes; normalmente tras el inicio de sesión, como prueba de que «este usuario ha iniciado sesión». Tiene tres partes separadas por puntos: cabecera.payload.firma (RFC 7519, RFC 7515).

Cómo decodificar un JWT

  1. Pega el token en el campo superior (con o sin «Bearer»).
  2. La cabecera y el payload aparecen al instante como JSON legible, con la caducidad y el emisor debajo.
  3. Opcional: introduce la clave en «Secreto o clave pública» y la herramienta verifica la firma.

Qué contiene un token

Importante: leer no es verificar

La cabecera y el payload solo están codificados en base64url, no cifrados. Cualquiera que vea un token puede leerlo: contraseñas u otros secretos no deben ir dentro. Sin comprobar la firma, el contenido no demuestra nada, porque cualquiera puede cambiarlo. La verificación aquí funciona con un secreto HMAC (HS256/384/512) y con clave pública (RS, PS, ES); un token con alg: none no está firmado.

Protección frente a «algorithm confusion»

Un ataque conocido entrega al servidor un token con alg: HS256 firmado usando la clave pública como secreto. Por eso la herramienta se niega a verificar si se introduce una clave pública o privada como secreto HS (la RFC 8725 aconseja no tomar nunca el algoritmo solo del token).

Límites

Preguntas frecuentes

¿Qué es un JWT?

Un JSON Web Token es una cadena compacta y segura para URL con tres partes (cabecera, payload, firma). Transporta claims como el ID de usuario o la caducidad y suele usarse como prueba de acceso tras iniciar sesión.

¿Puede cualquiera leer el contenido de un JWT?

Sí. La cabecera y el payload solo están codificados en base64url, no cifrados. Solo la firma protege frente a modificaciones, no frente a la lectura. Por eso no metas secretos en un JWT.

¿Cómo verifico la firma de un JWT?

En «Secreto o clave pública» introduce el secreto para HS256/384/512, o la clave pública en PEM o JWK para RS256, PS256 o ES256. El resultado aparece en «Firma».

¿Es seguro pegar mi token en un decodificador online?

Este decodificador trabaja por completo en tu navegador y no envía nada. Aun así, un token válido es una prueba de acceso. Usa tokens de prueba o ya caducados siempre que puedas.

¿Qué significan exp, iat y nbf?

exp es el instante en que caduca el token, iat el de su emisión y nbf el instante desde el que es válido. Los tres son segundos desde el 1 de enero de 1970 UTC.

¿Por qué la herramienta dice «sin verificar»?

Sin clave no hay con qué comprobar la firma, así que el contenido solo se lee. Los algoritmos no compatibles o los formatos de clave inadecuados también omiten la comprobación.

Fuentes y base legal

Última actualización: · Principios editoriales

Herramientas relacionadas