Decodificador de JWT
Pega un JWT y ve su cabecera, su payload y si está vigente, caducado o aún no es válido, con las fechas en tu hora local. No sale de tu navegador.
La firma no se verifica. Cualquiera puede crear un JWT con este contenido: no confíes en él sin validarlo en tu servidor.
El token no se guarda en ningún sitio.
Pega un JWT (también vale con «Bearer » delante) y se decodifica al momento.
Cómo funciona
Qué es un JWT
Un JSON Web Token son tres partes en Base64url separadas por puntos: la cabecera (algoritmo y tipo), el payload (los datos o claims) y la firma. Las dos primeras no están cifradas, solo codificadas: cualquiera que tenga el token puede leerlas. Por eso no conviene meter en un JWT nada que no deba ver el usuario.
Esta herramienta decodifica la cabecera y el payload al pegar el token (también si lleva delante Bearer ) y los muestra formateados. Las fechas estándar se traducen a tu hora local y a tiempo relativo: exp (caduca), nbf (no válido antes de) e iat (emitido). El indicador dice si el token está vigente, caducado o aún no es válido.
Lo que no hace
No verifica la firma: para eso hace falta la clave del emisor, y ese paso debe hacerse en tu servidor. Un token que se decodifica bien puede estar falsificado. Tampoco guarda nada: el token no se escribe en el almacenamiento del navegador y desaparece al cerrar la página.
Preguntas frecuentes
¿Se guarda el token?
No. Esta herramienta nunca guarda lo que pegas, ni siquiera en tu navegador, porque un JWT suele dar acceso a una cuenta.
¿Comprueba la firma?
No. Para verificar la firma hace falta la clave secreta o la clave pública del emisor. Decodificar solo muestra lo que el token dice, no si es auténtico.