Decodificador de JWT

Acerca de esta herramienta

Un JSON Web Token consta de tres segmentos codificados en Base64Url separados por puntos: una cabecera que describe el algoritmo de firma, un payload con las claims, y una firma. La cabecera y el payload solo están codificados, no cifrados, así que cualquiera que tenga el token puede leerlos. Esta herramienta decodifica ambos al instante. El formato está definido en la RFC 7519.

Pega un token para inspeccionar sus claims: emisor (iss), sujeto (sub), audiencia (aud), caducidad (exp), fecha de emisión (iat), y cualquier claim personalizada que añada tu proveedor. Suele ser la forma más rápida de averiguar por qué una API rechazó un token, casi siempre por caducidad o audiencia incorrecta, o de ver qué permisos lleva realmente ese token.

La decodificación ocurre por completo en tu navegador. El token nunca se transmite, así que es seguro pegar aquí tokens de acceso de producción. Algo que esta herramienta no hace es verificar la firma. Para confirmar que un token es genuino, aún hace falta validarlo en el servidor contra la clave del emisor.