Decodificador JWT Gratis: Inspeccionar Token JWT Online al Instante

A Cambiar el payload rompe la firma. La firma es un hash criptográfico del encabezado y el payload codificados, combinados con una clave secreta. Si modificas aunque sea un carácter en el payload, la firma no coincidirá. Para eso sirven los JWT — detectar manipulaciones. Piénsalo como un sobre sellado con lacre. Nuestra herramienta te muestra lo de dentro, pero cualquier alteración invalida el token por completo.

A El reclamo 'iat' (issued at) es una marca de tiempo Unix en segundos. Si el reloj de tu sistema está desviado por más de unos minutos, verás una fecha futura. La mayoría de los servidores permiten un margen de 30 a 60 segundos. Primero verifica la sincronización horaria de tu dispositivo — esa es la causa habitual. Nuestra herramienta convierte esa marca de tiempo a una fecha legible para que detectes discrepancias al instante.

A Maneja JWTs estándar de forma confiable. Pero un token con puntos faltantes, relleno Base64 inválido o caracteres extraños genera un error de análisis claro — verás exactamente dónde falla. Por ejemplo, si el payload contiene un '=' de más, la herramienta resalta la discrepancia. Útil para depurar tokens defectuosos de APIs de terceros. Empieza con un token bien codificado para evitar falsas alarmas.

A Sí, sin duda. Un JWT es como una llave digital: cualquiera que lo tenga puede hacerse pasar por el usuario hasta que expire. Por eso nunca pegues tokens de producción en sitios web aleatorios. Nuestra herramienta funciona completamente en el navegador, tu token nunca sale de tu máquina. Usa HTTPS, establece tiempos de expiración cortos (15 minutos o menos) y revoca los tokens desde el servidor. Un JWT filtrado con 24 horas de validez es un riesgo de seguridad real.

A El reclamo 'nbf' (not before) indica que el token no es válido hasta ese momento. Los servidores lo rechazan si se usa demasiado pronto, algo común por diferencias de reloj entre sistemas. Verifica si el reloj del emisor está sincronizado vía NTP. Nuestra herramienta convierte ese timestamp Unix a tu zona horaria local. Si 'nbf' está 30 segundos adelante, espera un poco antes de probar.

A Pega tu token en el área de texto y pulsa 'Decodificar': los resultados aparecen en el panel derecho, nunca en la consola del navegador. Tampoco se disparan solicitudes de red, así que no aparecerá en la pestaña Red de las DevTools. Un detalle: si copias el token desde la barra de direcciones, asegúrate de tomar la cadena completa, no una versión truncada. Algunas URLs tienen parámetros de consulta que pueden cortar la firma. Además, yo limpiaría el portapapeles después si estás en una máquina compartida.

A Verás un banner de advertencia claro en la parte superior del panel de resultados, y la sección de firma mostrará un indicador rojo de desajuste. El header y el payload se decodifican igualmente, pero no debes confiar en ninguno de esos claims. Si pruebas una respuesta de API y te sale esto, probablemente el token fue alterado en tránsito o firmado con un secreto distinto. Nuestra herramienta no verifica la firma criptográficamente, así que no adivina por qué difieren. Revisa tu clave de firma y la cadena exacta que pegaste — un espacio extra o un carácter que falta suele ser la causa.

A Lo más seguro es que no sean idénticos: un espacio al final o un padding Base64URL distinto lo cambia todo. Con que un solo carácter de la firma sea diferente, la salida varía. Dicho eso, el header y el payload se decodifican por separado, así que si coinciden, los claims también. Pero si comparas tokens de dos inicios de sesión distintos, los valores de 'iat' y 'jti' casi siempre difieren. Nuestra herramienta muestra el recuento de caracteres debajo de cada sección decodificada para que detectes la discrepancia al instante. Yo empezaría comparando las cadenas crudas antes de culpar al servidor.

A Busca el campo 'exp' directamente en la sección de datos tras pegar tu token. Este sello de tiempo Unix marca el segundo exacto en que caduca tu sesión, por ejemplo 1715000000. Nuestra herramienta convierte automáticamente ese número a tu hora local para ahorrarte cálculos manuales. Si ese momento ya pasó, tus consultas devolverán un error 401. Revisa este dato antes de investigar otras causas.

A Tus tokens nunca salen del navegador cuando los pegas aquí. El decodificador funciona completamente en el lado del cliente usando JavaScript, lo que significa que no se envían datos a ningún servidor externo. Puedes comprobarlo abriendo la pestaña de red de tu navegador mientras decodificas un token. Los desarrolladores backend pueden probar tokens de producción confidenciales sin arriesgar fugas de datos.