Decodificador JWT
Pega un JSON Web Token y lee su header, payload, firma y caducidad en el navegador. El token no sale de la página y la firma no se verifica.
La decodificación solo muestra el contenido del token. No verifica la firma ni confirma que las declaraciones sean fiables.
Qué hace un decodificador JWT
Un JSON Web Token son tres segmentos base64url unidos por puntos: un header que indica el algoritmo de firma, un payload con los claims y una firma. Las APIs entregan estos tokens al iniciar sesión y los esperan en cada petición, así que cuando algo falla necesitas leer el payload antes de poder depurar.
Este decodificador separa el token, analiza el header y el payload y muestra los claims en una tabla con fechas legibles. Todo ocurre en tu navegador, así que los tokens internos y los datos de clientes nunca llegan a un servidor; y como verificar la firma exigiría pegar una clave secreta en una página web, ese paso queda para tu propio código.
Cómo decodificar un JWT
- Pega el token en el cuadro de entrada: sirve tanto la cadena en bruto como una línea Authorization: Bearer completa, y el prefijo se elimina solo.
- Pulsa Decodificar, o Generar ejemplo si solo quieres ver cómo se ve un token decodificado.
- Lee los bloques Header y Payload y usa la tabla de claims para ver el emisor, el sujeto y la audiencia en lenguaje claro.
- Revisa la fila exp: la tabla la convierte a tu hora local e indica si el token caducó, sigue vigente o aún no está activo.
Ejemplos de decodificación JWT
Access token de una respuesta de login
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzQyIiwiaXNzIjoiaHR0cHM6Ly91cnNha2l0LmNvbSIsImV4cCI6MTc5MDAwMDAwMH0.abc123
Header {"alg":"HS256","typ":"JWT"}, payload con sub, iss y exp, y una fila de claims que muestra la caducidad en hora local.Token caducado
La misma forma, pero con exp en una marca de tiempo pasada
La fila exp pasa a Caducó el <hora local>, la forma más rápida de distinguir un problema de reloj de uno de permisos.
Copia desordenada desde DevTools
Authorization: Bearer eyJhbGciOiJIUzI1N… (con comillas y salto de línea)
El decodificador quita Authorization, Bearer, comillas y espacios, y luego decodifica con normalidad.
UrsaKit frente a otros decodificadores JWT
| Criterio | UrsaKit | jwt.io | token.dev | devglan.com |
|---|---|---|---|---|
| Precio | Gratis, sin registro | Gratis con extras de pago | Gratis | Gratis con anuncios |
| Dónde se decodifica | Tu navegador | Tu navegador | Tu navegador | Tu navegador |
| Sube el token | No | No | No | No |
| Explicación de claims | Sí, con estado de caducidad | Parcial | No | No |
| Verifica la firma | No, por diseño | Sí, requiere tu clave | Sí, opcional | Sí, requiere tu clave |
| Incluye codificador | No | Sí | Sí | Sí |
Preguntas frecuentes
¿Este decodificador JWT es gratis?
Sí. La decodificación, la tabla de claims, el token de ejemplo y las copias son gratis, sin cuenta ni límite de uso.
¿Mi token se sube a algún sitio?
No. El token se decodifica con JavaScript en tu navegador y nunca se envía a un servidor, se almacena ni se registra.
¿Verifica la firma del JWT?
No. Esta página solo decodifica. Verificar la firma exige la clave secreta o pública del emisor, y pedirte que pegues un secreto en una web es un riesgo innecesario.
¿Puedo fiarme de los claims decodificados?
Trátalos como datos. Cualquiera puede fabricar un token con el payload que quiera, así que solo son fiables después de que tu backend verifique la firma.
¿Cómo se lee el claim exp?
exp es una marca de tiempo Unix en segundos. La tabla de claims la convierte a tu hora local e indica si el token caducó, sigue vigente o aún no está activo.
¿Puede decodificar tokens con alg: none?
Sí. El tercer segmento queda vacío; el decodificador muestra Sin segmento de firma (alg: none) y sigue mostrando header y payload.