Decodificador JWT
Pega un JWT para leer al instante su encabezado y payload, comprobar el tiempo de expiración y verificar opcionalmente la firma con un secreto o clave pública — todo sin enviar el token a ningún lado.
Sin subir archivos · Todo se procesa en este navegador
Decodificar solo lee el contenido. No demuestra que el token sea auténtico.
Encabezado
Payload
Fechas
| Caduca (exp) | |
|---|---|
| Válido desde (nbf) | |
| Emitido (iat) |
No hay claims exp, nbf ni iat.
Verificar firma (opcional)
Preguntas frecuentes
¿Es seguro pegar un token de producción?
El token se decodifica y verifica solo dentro de este navegador y nunca se envía. Aun así, trata los tokens reales como contraseñas y no los muestres al compartir pantalla.
¿Decodificar demuestra que el token es válido?
No. Cualquiera puede leer un JWT. Solo la verificación de la firma con el secreto o la clave pública correctos demuestra que no se alteró.
¿Qué claves puedo usar para verificar?
HS256/384/512 usan un secreto compartido. RS, PS, ES y EdDSA usan una clave pública en PEM (BEGIN PUBLIC KEY o BEGIN RSA PUBLIC KEY) o en formato JWK/JWKS.
¿Qué claims destaca la herramienta?
exp (expiración), nbf (válido desde) e iat (emitido) se muestran en hora local legible para humanos, y la herramienta indica si el token es actualmente válido, ha caducado o aún no es válido.
¿Puedo verificar tokens RS256 o ES256?
Sí. Pega la clave pública PEM o un JWK/JWKS en la sección de verificación. RS256, RS384, RS512, PS256, PS384, PS512, ES256, ES384, ES512 y EdDSA están todos soportados.