Decodificador JWT Gratis: Inspeccionar Token JWT Online al Instante
22 usosConsejos JWT
Decodificar header y payload
Pega un token JWT y se decodifican automáticamente el header (algoritmo) y payload (datos) en JSON legible.
Sin verificación de firma
Esta herramienta decodifica el contenido pero no verifica la firma. Es para inspección, no para validación.
Verificar expiración
El payload suele incluir exp (expiración), iat (emisión) y nbf (no antes). Verifica si tu token ha expirado.
Preguntas frecuentes
¿Qué es un JWT?
JSON Web Token: un estándar para transmitir información verificable entre partes. Tiene tres partes separadas por puntos: header.payload.signature.
¿Se envía mi token a algún servidor?
No, la decodificación es 100% local en tu navegador. Tu token nunca sale de tu dispositivo.
¿Valida la firma?
No, solo decodifica el contenido (header y payload). Para validar la firma necesitas la clave secreta o pública.
¿Cuál es la diferencia entre decodificar y verificar una firma JWT?
Decodificar una firma JWT significa que la herramienta desglosa la cadena codificada en sus partes: encabezado, carga útil y la firma en sí. Es como abrir un sobre sellado para ver qué hay dentro. Verificar la firma, por otro lado, consiste en comprobar si el token fue realmente emitido por la parte esperada. Nuestra herramienta decodifica, pero no verifica, ya que la verificación de la firma requiere la clave secreta o pública, que no debes exponer.
¿El JWT sigue siendo válido si cambio el payload después de decodificarlo?
Cambiar el payload rompe la firma. La firma es un hash criptográfico del encabezado y el payload codificados, combinados con una clave secreta. Si modificas aunque sea un carácter en el payload, la firma no coincidirá. Para eso sirven los JWT — detectar manipulaciones. Piénsalo como un sobre sellado con lacre. Nuestra herramienta te muestra lo de dentro, pero cualquier alteración invalida el token por completo.
Cómo Decodificar JWT
- Pega tu token JWT
- El header y payload se decodifican automáticamente
- Revisa los claims: sub, exp, iat, etc.
- Todo se procesa localmente — tu token es privado