Cargando...
Cargando...
Pega un JSON Web Token para dividirlo en encabezado, carga y firma. Las marcas de tiempo como exp e iat se formatean en fechas legibles, y la tabla de reclamaciones muestra cada campo de un vistazo. Funciona completamente en tu navegador.
Un JSON Web Token (JWT) es una forma compacta y segura para URL de representar reclamaciones entre dos partes. Son tres segmentos codificados en base64url unidos por puntos: un encabezado que nombra el algoritmo de firma, una carga útil que lleva las reclamaciones y una firma que prueba que el token fue emitido por alguien que posee la clave de firma. Los JWT son el formato predeterminado para los tokens de acceso de OAuth 2.0, los tokens de ID de OpenID Connect y la mayoría de los sistemas de sesión sin estado. Este decodificador divide el token y muestra el JSON en bruto para cada segmento; no verifica la firma, porque eso requeriría la clave secreta o pública del emisor.
Copia un JWT de un encabezado de autorización, un registro de depuración o una URL. Debería verse como eyJ...eyJ...firma con tres segmentos.
El encabezado muestra el algoritmo (alg) y el tipo de token (typ). La carga útil enumera cada reclamación: sub, iss, aud, exp, iat y cualquier campo personalizado.
Los banners de validez te indican inmediatamente si el token está expirado, activo o aún no es válido (nbf). Las reclamaciones de tiempo se muestran tanto en UTC como en forma relativa.
Usa el botón de copiar en el panel de encabezado o carga útil para obtener un JSON limpio para depuración, compartir o pegar en otra herramienta.
Un JWT tiene tres segmentos codificados en base64url unidos por puntos:
encabezado.carga útil.firma
Encabezado — JSON que describe el algoritmo de firma
{ "alg": "HS256", "typ": "JWT" }
Carga útil — JSON que lleva las reclamaciones
{ "sub": "1234", "exp": 1700000000 }
Firma — HMAC o RSA sobre encabezado.carga útil, codificado en base64url
Reclamaciones de tiempo estándar (segundos desde la época):
exp = tiempo de expiración
iat = emitido en
nbf = no antes deEl encabezado y la carga útil son JSON plano que cualquiera puede leer; base64url es codificación, no cifrado. La firma es lo que hace que el token sea confiable: se calcula por el emisor utilizando una clave secreta (para algoritmos HS*) o una clave privada (para algoritmos RS*/ES*) sobre los dos primeros segmentos. Un servidor que recibe el token vuelve a calcular la firma con la clave secreta o pública correspondiente y rechaza cualquier cosa que no coincida. Por eso nunca debes poner datos sensibles como contraseñas en una carga útil, y por eso esta herramienta solo decodifica; la verificación requiere la clave del emisor.
Referencia: RFC 7519 — JSON Web Token (JWT)
| Entrada | Salida |
|---|---|
Encabezado: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 | { "alg": "HS256", "typ": "JWT" } Encabezado mínimo para un token HMAC-SHA256. |
Carga útil con reclamación exp | { "sub": "1234", "exp": 1700000000 } exp son segundos desde la época — 2023-11-14 en UTC. |
Token expirado | Token expirado · Expira 2024-01-01 (hace 3 meses) El banner de validez se vuelve rojo cuando exp está en el pasado. |
Token malformado (solo dos segmentos) | Token inválido: se esperaban 3 segmentos, se obtuvieron 2 Un JWT debe tener exactamente tres partes separadas por puntos en base64url. |
Formatea, valida y minimiza JSON con informes precisos de línea y columna de errores.
Codifica y decodifica texto Base64 con variante opcional segura para URL y soporte UTF-8.
Convierte entre números de época y fechas con detección automática para segundos vs milisegundos.
Calcula tu edad exacta en años, meses y días a partir de cualquier fecha de nacimiento.
Última actualización