¿Qué hace el decodificador de JWT?

Separa y decodifica las tres partes de un JSON Web Token — header, payload y firma — y muestra el contenido del header y del payload como JSON legible y con colores, además del estado de expiración y de la firma.

¿Cómo funciona la decodificación?

El header y el payload de un JWT son solo Base64URL (no cifrado). La herramienta decodifica esas partes a JSON y las muestra. La firma se mantiene codificada porque es un hash criptográfico usado para verificar la integridad.

¿Es seguro pegar mi token aquí?

Sí. Toda la decodificación ocurre localmente en tu navegador con JavaScript. Ningún token, secreto o dato se envía a servidores de ToolboxHub. Aun así, evita compartir públicamente tokens de producción válidos.

¿Cómo verifico la firma?

Para tokens firmados con HMAC (HS256, HS384 o HS512), introduce el secreto en el campo correspondiente: la herramienta recalcula la firma localmente e indica si coincide. Para algoritmos asimétricos (RS256, ES256, etc.), la verificación requeriría la clave pública y no se realiza aquí.

¿Cómo sé si el token está expirado?

La herramienta lee el claim exp (expiración) y el nbf (not before) del payload, los convierte a fecha/hora en tu zona horaria y muestra una insignia que indica si el token es válido, está expirado o aún no es válido.

¿Qué algoritmos son compatibles?

La decodificación funciona con cualquier JWT, sin importar el algoritmo. La verificación de firma integrada cubre los algoritmos HMAC: HS256, HS384 y HS512. Los algoritmos asimétricos se decodifican pero no se verifican.

¿Por qué el payload no está cifrado?

Un JWT estándar está firmado, no cifrado: cualquiera con el token puede leer el payload. La firma garantiza que el contenido no fue alterado, pero no lo oculta. Por eso nunca debes poner datos sensibles (contraseñas, tarjetas) en el payload de un JWT.

Decodificador de JWT Online Gratis: Header, Payload y Firma

Sobre el Decodificador de JWT

Pega un JSON Web Token (JWT) y visualiza sus tres partes decodificadas de forma estructurada y con colores: el Header (algoritmo y tipo), el Payload (claims, expiración y scopes) y la firma. Toda la decodificación ocurre localmente en tu navegador — el token nunca se envía a servidores. Para tokens HMAC, puedes introducir el secreto y verificar la firma. Para generar hashes, usa nuestro Generador de Hash.

Cómo decodificar en 3 pasos

Pega el token JWT en el campo de entrada.
Visualiza el Header, el Payload y la firma decodificados automáticamente.
Comprueba la expiración y, si el token es HMAC, introduce el secreto para validar la firma.

Estructura de un JWT

Un JWT tiene tres partes codificadas en Base64URL y separadas por puntos: header.payload.firma.

Parte	Color	Significado
Header	Rojo	Metadatos: algoritmo de firma (alg) y tipo (typ).
Payload	Azul	Los claims: datos del usuario, permisos, emisión y expiración.
Firma	Turquesa	Garantiza la integridad del token; se calcula sobre header y payload con una clave secreta.

Claims registrados del JWT

Los claims siguientes están estandarizados por la RFC 7519. Otros claims (personalizados) también pueden aparecer en el payload.

Claim	Nombre	Significado
`iss`	Emisor	Quién emitió el token (issuer).
`sub`	Sujeto	Sujeto del token, normalmente el ID del usuario (subject).
`aud`	Audiencia	Destinatario(s) a quien(es) va dirigido el token (audience).
`exp`	Expira el	Fecha/hora de expiración — después de ella el token no debe aceptarse (expiration).
`nbf`	Válido desde	Fecha/hora antes de la cual el token no es válido (not before).
`iat`	Emitido el	Fecha/hora en que se emitió el token (issued at).
`jti`	ID del token	Identificador único del token (JWT ID).

Decodificador de JWT