Decodificador JWT y depurador: decodifica y verifica tokens online
El decodificador JWT y depurador gratuito muestra al instante la cabecera y la carga útil de tu JSON Web Token en un formato legible, y exp, iat y nbf como fechas en UTC. Verifica la firma con un secreto (HS256, HS384, HS512) o una clave pública en formato PEM «BEGIN PUBLIC KEY» (RS, PS, ES), edita los claims y vuelve a firmar el token al instante con HS256, HS384 o HS512. Todo se ejecuta en tu navegador; no se sube nada.
Creado por Jakub Martyniak
¿Emites tokens? Ejecuta tu servicio de autenticación en tu propio VPS.
Codificado (JWT)
Decodificado
Por qué esta herramienta
Más que un decodificador JWT: verifica, edita y firma
Todo lo que necesitas para depurar JWT.
Decodificación en tiempo real
Al pegar el token, la cabecera y la carga útil aparecen de inmediato como JSON con formato, sin pulsar ningún botón.
exp, iat y nbf legibles
iat, nbf y exp se muestran como fechas en UTC; exp también indica cuánto falta para que caduque o cuánto tiempo lleva caducado. Si exp ha caducado, se marca en rojo.
Volver a firmar con HS256, HS384 y HS512
Edita la cabecera o la carga útil, incluidos exp, roles o claims propios, y obtén al instante un nuevo token firmado con tu secreto.
Verificar firmas RS, PS y ES
Verifica RS256 a RS512, PS256 a PS512 y ES256 a ES512 con una clave pública en formato PEM «BEGIN PUBLIC KEY».
Los números grandes conservan su valor exacto
Los números enteros superiores a 2^53, como los ID de Snowflake, no se redondean al decodificar ni al volver a firmar.
Solo se ejecuta en el navegador
La decodificación, la firma y la verificación se realizan con la Web Crypto API de tu navegador: no se sube nada.
Estructura de un JWT
Decodificar un JWT no es verificarlo
Un JSON Web Token consta de tres partes codificadas en Base64URL y separadas por puntos: cabecera.carga útil.firma. La cabecera y la carga útil no están cifradas; cualquiera puede leerlas. Solo la firma permite comprobar si un token no se ha modificado.
Cabecera
Contiene el algoritmo (alg) y, normalmente, el tipo (typ). A partir de alg, la herramienta determina si necesita un secreto o una clave pública para verificar la firma.
Payload
Contiene los claims, como sub, roles o exp. Puedes leerlos en cualquier momento, pero no deberías confiar en ellos hasta verificar la firma.
Firma
Se calcula a partir de la cabecera y la carga útil. La herramienta la verifica con tu secreto (HS256, HS384, HS512) o con la clave pública (RS, PS, ES) y muestra «Válido» o «No válido».
Esta herramienta no genera por sí sola un secreto seguro y aleatorio para HS256, HS384 o HS512.
Generar un secreto con el generador de contraseñasexp, iat y nbf son marcas de tiempo Unix en segundos. Para tus propios claims necesitas el valor numérico correspondiente.
Convertir marcas de tiempo con el conversor de épocaCómo funciona
Cómo funciona el decodificador JWT
Del token pegado a la firma verificada en cinco pasos.
Paso 1
Pegar un JWT
Pega tu JWT en el campo «Encoded (JWT)» o haz clic en «Cargar ejemplo» para probarlo con un token de ejemplo HS256.
Paso 2
Leer la cabecera y la carga útil
En la sección «Decoded» verás de inmediato la cabecera y la carga útil como JSON con formato. exp, iat y nbf aparecen encima de la carga útil como fechas en UTC.
Paso 3
Verificar la firma
Introduce el secreto para HS256, HS384 o HS512, o pega la clave pública en formato PEM «BEGIN PUBLIC KEY» para tokens RS, PS y ES. Arriba aparecerá «Válido» o «No válido».
Paso 4
Editar y volver a firmar
Opcional: modifica la cabecera o la carga útil, o elige HS256, HS384 o HS512 como algoritmo. En el campo «Encoded (JWT)» se genera al instante un nuevo token firmado con tu secreto.
Paso 5
Copiar resultado
Copia el token, la cabecera o la carga útil al portapapeles con el botón correspondiente.
Descubre más
Herramientas relacionadas con JWT y autenticación
Codificador/decodificador Base64
Codifica y decodifica texto en Base64, incluida una variante segura para URL y una indicación clara de errores, directamente en el navegador.
Creado por Jakub Martyniak
Conversor de marcas de tiempo Epoch/Unix
Convierte marcas de tiempo Unix (segundos, milisegundos, microsegundos y nanosegundos) en fechas legibles y viceversa. Incluye un contador en vivo, ISO 8601/RFC 2822 y tiempo relativo; todo en el navegador.
Creado por Jakub Martyniak
Generador de contraseñas
Genera contraseñas seguras y aleatorias directamente en el navegador: no se guarda ni transmite nada.
Creado por Rugile Rutkauskaite
Formateador de JSON
Formatea, minifica y valida JSON con resaltado de sintaxis, indicación de errores y descarga, todo en el navegador.
Creado por Jakub Martyniak
Generador de hashes (MD5, SHA-1, SHA-256, SHA-512)
NuevoGenera hashes MD5, SHA-1, SHA-256 y SHA-512 a partir de texto o archivos y compara sumas de verificación. Funciona íntegramente en el navegador.
Creado por Luca Stanek
Generador de UUID
Genera UUID de las versiones 1, 4, 5 y 7, individualmente o en lote, con un formato personalizable y directamente en el navegador.
Creado por Jakub Martyniak
FAQ
Preguntas frecuentes sobre el decodificador JWT
Respuestas breves sobre decodificación, verificación de firmas, caducidad y privacidad.
Sí. El decodificador JWT y depurador se ejecuta directamente en esta página, en tu navegador, sin cuenta, registro ni instalación.
No. La decodificación, la firma y su verificación se realizan exclusivamente en tu navegador; las operaciones criptográficas usan la Web Crypto API. El token, el secreto y la clave pública no se suben. Aun así, los JWT reales suelen contener credenciales de sesión o de API; para hacer pruebas, es mejor usar tokens de prueba.
Sí. Un JWT no está cifrado: la cabecera y la carga útil solo están codificadas en Base64URL y cualquiera puede leerlas. El secreto o la clave pública solo se necesitan para verificar la firma y, con HS256, HS384 y HS512, para volver a firmar. Por tanto, decodificar un token no demuestra que sea auténtico; solo la verificación de la firma permite comprobarlo.
Para HS256, HS384 y HS512, introduce el secreto. Si la cabecera indica RS256, RS384, RS512, PS256, PS384, PS512, ES256, ES384 o ES512, aparecerá en su lugar un campo para la clave pública en formato PEM «BEGIN PUBLIC KEY» (SPKI). La herramienta no acepta RSA PUBLIC KEY (PKCS#1) ni certificados. El resultado se muestra arriba como «Válido» o «No válido»; sin secreto ni clave, aparece «No verificado». La herramienta no verifica otros algoritmos.
Si la carga útil contiene exp, iat o nbf como números, la herramienta muestra estos claims encima de la carga útil como fechas en UTC. Para exp, también indica cuánto falta para que caduque el token o cuánto tiempo lleva caducado; si ha caducado, se marca en rojo. Si nbf está en el futuro, verás a partir de cuándo será válido el token.
Sí. Edita directamente la cabecera o la carga útil, por ejemplo, exp, roles o claims propios, o elige otro algoritmo. En cuanto cambies algo, se generará al instante un nuevo token firmado con tu secreto en el campo «Encoded (JWT)». Solo puedes firmar con HS256, HS384 y HS512: los algoritmos RS, PS y ES requieren una clave privada que la herramienta no utiliza.
Copia solo la parte que va después de «Bearer » y pégala. El prefijo no se elimina automáticamente, y un JWT debe constar exactamente de tres partes separadas por puntos (cabecera.carga útil.firma). Con el prefijo, no se puede leer la cabecera y la herramienta muestra un error.
Un JWT consta de tres partes codificadas en Base64URL y separadas por puntos: cabecera (por ejemplo, alg y typ), carga útil con los claims y firma. El ejemplo precargado muestra la estructura: un token HS256 con sub, name y iat que se verifica como «Válido» con el secreto de ejemplo.
¿Tienes más preguntas?
Contactar con soporteTu API necesita un servidor fiable que emita sus tokens
Un VPS de ZAP-Hosting pone tu aplicación o proyecto en línea de forma fiable.
Sin configuración. Sin riesgos. En línea en segundos.
¿Buscas más herramientas? Ver todas las herramientas para desarrolladores
Fuente preferida en Google
