Decodificador JWT

Acerca de esta herramienta

Pega un JWT (con o sin «Bearer») para leer su cabecera, su payload y las fechas iat, nbf y exp en hora local. A diferencia de muchas webs, el token nunca se transmite: puedes decodificar un token de producción sin riesgo de filtrarlo.

Cuándo usarla

Cómo se usa

1. Pega el token.
2. Lee la cabecera y el payload decodificados.
3. Comprueba la fecha de caducidad.

Cómo funciona

Un JWT firmado tiene tres partes separadas por puntos: la cabecera (algoritmo de firma), el payload (los «claims») y la firma. Las dos primeras son JSON codificado en Base64URL: la herramienta las decodifica y las formatea. El prefijo «Bearer» se quita automáticamente.

Las fechas iat, nbf y exp son marcas de tiempo Unix en segundos; se convierten a fecha y hora local, con la indicación «caducado» o «aún válido». La firma no se verifica, porque haría falta la clave del servidor: decodificar muestra lo que dice el token, no que sea auténtico. Ningún token se envía a ningún sitio.

Consejos para un mejor resultado

• No pegues tokens de producción en webs que los envían a un servidor; aquí la decodificación se queda en tu navegador.
• No pongas nunca información secreta en el payload de un JWT: cualquiera puede leerla.
• En el servidor, verifica siempre la firma, el algoritmo esperado, exp, aud e iss antes de confiar en el token.
• Mantén los tokens de acceso de corta duración (unos minutos) y usa tokens de renovación para prolongar la sesión.
• Si un token parece caducar demasiado pronto, compara el reloj del servidor con el del dispositivo: basta un desfase de unos minutos.

Problemas frecuentes y soluciones

Preguntas frecuentes

Búsquedas relacionadas

• decodificar jwt
• decodificador jwt
• decodificar token jwt
• leer jwt
• caducidad jwt
• alternativa a jwt.io