Decodificador de JWT

¿Qué es Decodificador de JWT?

Cuándo Usar Esta Calculadora

• Debugging why an API rejects a token by inspecting its claims and expiration time
• Checking a token's expiration time during a support investigation or incident response
• Verificar que un proveedor de SSO u OAuth esté emitiendo las reclamaciones que su aplicación espera.
• Learning how JWTs are structured for interview preparation or security coursework
• Inspecting a token captured from browser dev tools or server logs to understand its contents
• Comparing the header algorithm between tokens to debug algorithm-mismatch authentication failures

Pasos:

1. Pega tu JWT en el campo de entrada, o haz clic en "Cargar ejemplo" para probar uno.
2. El encabezado y la carga útil se decodifican automáticamente a medida que escribes.
3. Revisa claims como iss, sub, exp e iat en forma legible.
4. Los claims de marca de tiempo (exp, iat, nbf) se convierten automáticamente en fechas legibles.

Fórmula

Casos de uso

• Depurar por qué una API rechaza un token inspeccionando sus claims
• Comprobar el tiempo de expiración de un token durante una investigación de soporte
• Verificar que un proveedor SSO u OAuth emite los claims esperados
• Aprender cómo están estructurados los JWT para una entrevista de trabajo o un curso
• Inspeccionar rápidamente un token copiado de las herramientas de desarrollo del navegador o de registros del servidor

Beneficios Clave

• Decodifica cualquier JWT al instante sin backend ni herramienta de línea de comandos
• Todo se ejecuta del lado del cliente — los tokens nunca se envían a un servidor
• Convierte automáticamente los claims de marca de tiempo en fechas legibles
• Gratis, sin registro, funciona con cualquier JWT sin importar el algoritmo

Consejos Profesionales

• Revisa siempre 'exp' primero al depurar un error "unauthorized" — un token expirado es la causa más común
• Compara el 'alg' del encabezado con lo que espera tu backend para detectar errores de desajuste de algoritmo
• Nunca confíes en una carga útil decodificada como prueba de identidad sin verificar la firma en el servidor
• Usa tokens de corta duración junto con tokens de actualización en lugar de JWT de larga duración para limitar la exposición si alguno se filtra

Errores Comunes que Debes Evitar

• Suponer que un JWT decodificado es un JWT verificado — decodificar solo lee el contenido, no confirma la autenticidad
• Almacenar datos sensibles (contraseñas, secretos) en la carga útil, olvidando que cualquiera puede leerla
• Pegar tokens de producción en decodificadores en línea no confiables
• Confundir 'exp' (expiración) con 'iat' (emitido en) al depurar problemas de vida útil del token

Términos Clave Explicados

• Claim: Un dato afirmado sobre un sujeto, como un ID de usuario o un rol
• Encabezado: El primer segmento del JWT, que especifica el algoritmo de firma y el tipo de token
• Carga útil: El segundo segmento del JWT, que contiene los claims reales
• Firma: El tercer segmento del JWT, usado para verificar que el token no ha sido alterado

Conceptos relacionados

• [object Object]
• [object Object]
• [object Object]
• [object Object]
• [object Object]

Ejemplo

Interpretación de sus resultados