Decodificador de JWT

Un JSON Web Token consta de tres segmentos codificados en Base64Url separados por puntos: una cabecera que describe el algoritmo de firma, un payload con las claims, y una firma. La cabecera y el payload solo están codificados, no cifrados, así que cualquiera que tenga el token puede leerlos. Esta herramienta decodifica ambos al instante. El formato está definido en la RFC 7519.

¿Qué puedo ver al pegar un token?

Pega un token para ver su cabecera y su payload como JSON formateado, más una nota en lenguaje sencillo para cualquier claim relacionada con tiempo. La cabecera suele indicar el algoritmo de firma (alg) y el tipo de token. El payload contiene las claims que el emisor haya puesto ahí: las estándar como emisor (iss), sujeto (sub), audiencia (aud), caducidad (exp), fecha de emisión (iat), fecha de no-validez-antes (nbf), más cualquier claim personalizada que añada tu proveedor, como roles o scopes. Para exp, iat y nbf, la herramienta también convierte el timestamp Unix a una fecha legible y te dice si el token ya caducó o todavía no es válido, que suele ser la forma más rápida de entender por qué una API lo rechazó. Un token necesita exactamente tres partes separadas por puntos y JSON válido codificado en Base64Url en las dos primeras para poder decodificarse; cualquier otra cosa se reporta como JWT inválido.

¿Se envía mi token a algún sitio?

No. La decodificación ocurre por completo en tu navegador: el token se analiza y se separa localmente, y nada se transmite por la red. Por eso es seguro pegar aquí tokens de acceso reales, incluidos los de un sistema en producción, sin preocuparte de que pasen por un tercero.

¿Esta herramienta verifica la firma?

No, y esto importa. La herramienta solo decodifica la cabecera y el payload, que no es más que una decodificación Base64Url seguida de un análisis JSON. No comprueba la firma, así que no puede decirte si un token es genuino o fue manipulado. Decodificar te muestra lo que un token afirma; verificar demuestra que esas afirmaciones son confiables, y esa comprobación tiene que hacerse contra la clave de firma del emisor, normalmente en un servidor o en una librería backend que tenga acceso a ella. Si estás depurando un token rechazado, decodificarlo aquí es una forma rápida de ver si las claims parecen correctas, pero una decodificación exitosa no es lo mismo que una firma válida.

Para entender cómo encajan los tres segmentos y qué significa cada claim estándar, la introducción a JWT de Auth0 es una referencia útil junto con la RFC.