Convertidor Gratuito
Decodificador de Token JWT
Decodifica el encabezado y la carga útil de un JWT (JSON Web Token) al instante en tu navegador. Gratis, privado y del lado del cliente — no se envían datos al servidor.
Decodifica el encabezado y la carga útil de un JWT (JSON Web Token) al instante en tu navegador. Gratis, privado y del lado del cliente — no se envían datos al servidor.
Los JSON Web Tokens (JWT) son un formato compacto y seguro para URL para transmitir reclamaciones entre dos partes, definido por RFC 7519. Un JWT consta de tres segmentos codificados en base64url separados por puntos: encabezado (algoritmo y tipo de token), carga útil (reclamaciones) y firma (prueba criptográfica de autenticidad). El encabezado y la carga útil son JSON, codificados en base64url para seguridad de URL; la firma utiliza uno de varios algoritmos (HS256, RS256, ES256 y otros) sobre el encabezado codificado y la carga útil.
Decodificar un JWT (dividirlo en segmentos y decodificar en base64 cada uno) no requiere ningún secreto. Cualquiera que tenga el texto del token puede leer su encabezado y carga útil. La firma, sin embargo, sólo puede verificarse con la clave secreta (HMAC) o pública (asimétrica). La decodificación es para inspección; la verificación es lo que prueba la autenticidad.
Este decodificador divide el token, decodifica en base64 cada segmento, analiza el encabezado y la carga útil como JSON y muestra el resultado. No intenta verificar la firma porque requiere la clave pública o secreta, que el decodificador no tiene. La salida decodificada es una inspección de solo lectura, útil para depurar tokens pero no sustituye la verificación adecuada en el código de la aplicación.
La depuración de problemas de autenticación casi siempre implica inspeccionar tokens. Un token que parece válido en el código puede tener afirmaciones incorrectas, un algoritmo inesperado, una marca de tiempo de exp vencida o una discrepancia de audiencia. Decodificar el token revela exactamente lo que produjo el emisor.
También ayuda inspeccionar los tokens durante el trabajo de integración. Al conectarse a una API de terceros o a un proveedor de identidad, los nombres, los formatos y la estructura de los reclamos reales se comprenden mejor decodificando tokens de muestra en lugar de confiar en documentación que puede estar desactualizada.
Pegue el token y obtenga el contenido analizado.
El formato JWT consta de tres segmentos unidos por puntos. Cada segmento está codificado en base64url, la variante segura de URL de base64 que usa - y _ en lugar de + y /, y a veces se omite el relleno. La decodificación requiere deshacer las sustituciones seguras de URL, rellenar el segmento y decodificar en base64.
El encabezado y la carga útil son JSON después de la decodificación. El segmento de firma es binario (bytes de firma sin procesar) y no es legible por humanos; requiere que la clave de verificación sea útil.
Reclamaciones comunes definidas en RFC 7519: iss (emisor), sub (identificador de sujeto), aud (audiencia), exp (vencimiento como segundos de época de Unix), nbf (marca de tiempo no anterior), iat (marca de tiempo emitido en), jti (ID de token único). Los reclamos específicos de la aplicación pueden aparecer con cualquier nombre.