Un JWT, o token web JSON, es un texto corto que usan las páginas web para recordar quién eres después de iniciar sesión. Se ve como tres bloques de letras separados por puntos. Este decodificador JWT gratis lee esos bloques por ti, directamente en tu navegador.
Pega tu token en el cuadro y pulsa Decodificar. La herramienta muestra primero el encabezado. El encabezado suele indicar qué método de firma se usó, por ejemplo HS256 o RS256. Después muestra el contenido, que guarda los datos reales: un identificador de usuario, un nombre, permisos y muchas veces una fecha de vencimiento.
El tercer bloque es la firma. Esta herramienta solo decodifica el token. No comprueba la firma, porque para comprobarla hace falta la clave secreta, y nunca debes pegar una clave secreta en una página web. Decodificar aquà es seguro porque nada sale de tu dispositivo: todo el trabajo ocurre en tu propio navegador.
Hay un campo que merece atención: exp. Es la fecha de vencimiento, escrita como segundos desde 1970. Si la fecha mostrada ya pasó, el token venció y un servidor deberÃa rechazarlo. La herramienta muestra esto con claridad para que no tengas que convertir el número por tu cuenta.
Las personas que desarrollan aplicaciones usan este decodificador para resolver problemas de inicio de sesión. Si un usuario dice que no puede entrar a una página, decodifica su token y revisa el identificador, los permisos y el vencimiento. La mayorÃa de los errores de acceso resultan ser un permiso incorrecto o un token vencido, y ambos se ven en segundos.
Una advertencia importante: un JWT no está cifrado por defecto. Cualquier persona que tenga el token puede decodificarlo, igual que hace esta herramienta. Por eso nunca guardes contraseñas, números de tarjeta ni otros datos secretos dentro de un token. Usa tokens de vida corta, envÃalos solo por conexiones seguras y guárdalos con cuidado.
La privacidad es total. No pedimos registro, no guardamos tu token y no enviamos nada a un servidor. Puedes usar la herramienta con tokens de prueba o con tokens reales de tu propia aplicación, con la tranquilidad de que el análisis ocurre solo en tu equipo.
Empieza ahora con el token de ejemplo que ya está en el cuadro. Después pega un token real de tu aplicación y revisa qué datos lleva dentro. Es gratis, no necesita registro y tu token nunca sale de tu navegador.
Si trabajas con interfaces de programación, este decodificador también te ayuda a entender qué envÃa tu aplicación en cada petición. Copia el token desde las herramientas de tu navegador, pégalo aquà y compara el contenido con lo que esperabas. Asà detectas campos que faltan o valores que no coinciden.
Recuerda que un token decodificado no es un token válido. La validez real depende de la firma y del servidor que la comprueba. Usa esta herramienta para leer y aprender, y deja la verificación en manos de tu servidor, donde la clave secreta permanece protegida.
Otros campos comunes que puedes encontrar son iss, que indica quién emitió el token, y aud, que indica para quién es válido. Si trabajas con varios servicios, revisa estos campos para confirmar que el token pertenece al servicio correcto y no a otro entorno, como pruebas o desarrollo.
También es útil revisar el campo iat, que marca cuándo se creó el token, junto con exp. La diferencia entre ambos te dice cuánto dura una sesión. Si la duración es muy larga, un token robado seguirá siendo útil durante mucho tiempo, asà que las sesiones cortas son más seguras.
Por último, guarda los tokens como secretos aunque se puedan leer. Un token decodificado revela datos, pero también permite entrar como ese usuario mientras siga vigente. No lo pegues en foros, capturas de pantalla ni registros públicos, y revócalo en cuanto dejes de necesitarlo.