Ir al contenido
OneKitly

Decodificador JWT

Descodifica un JWT, lee sus campos y fechas, y verifica su firma HMAC.

Este decodificador JWT gratuito lee un JSON Web Token y muestra su cabecera y payload en JSON claro y legible, al instante. La forma más rápida de inspeccionar los claims de un token, comprobar su caducidad o depurar una autenticación.

Cómo usarlo

  1. Pega tu JWT (la cadena cabecera.payload.firma).
  2. Lee la cabecera y el payload decodificados.
  3. Comprueba claims como exp, iat y el sujeto.

Preguntas frecuentes

¿Qué es un JWT?

Un JSON Web Token es un token compacto y firmado usado para autenticación. Tiene tres partes — cabecera, payload y firma — separadas por puntos y codificadas en Base64URL.

¿Decodificar un JWT es lo mismo que verificarlo?

No. Decodificar solo revela el contenido — cualquiera puede hacerlo. Verificar comprueba la firma con un secreto o clave para probar que el token es auténtico e íntegro. Esta herramienta decodifica; no verifica.

¿Es seguro pegar mi token aquí?

Trata cualquier token como un secreto. Un token de producción activo da acceso a aquello para lo que se emitió: decodifica aquí tokens caducados o de prueba y deja los activos en una herramienta que controles de principio a fin.

¿Cuáles son las tres partes de un JWT?

La cabecera (algoritmo y tipo), el payload (los claims — quién, qué, cuándo) y la firma que permite a un servidor verificar que las dos primeras no han cambiado.

¿Qué es Decodificador JWT?

Descodifica un JWT, lee sus campos y fechas, y verifica su firma HMAC.

¿En qué casos se usa realmente?

Leer un payload que te han pasado, incrustar un archivo pequeño en una configuración y averiguar por qué una cadena de consulta se rompe al llegar al servidor.

¿Cuál es el error más frecuente?

Tomar Base64 por una protección. Es una codificación, no cifrado: cualquiera lo decodifica al instante, y un token pegado en una incidencia pública es un token filtrado.

¿En qué se diferencia Decodificador JWT de Codificador / decodificador Base64?

Están próximos pero responden a preguntas distintas: Codificador / decodificador Base64 es el que conviene abrir cuando se trata de codifica y decodifica Base64 en línea — gratis. Elige el que encaje con tu punto de partida — ambos son gratis.

¿Hay una herramienta para el siguiente paso?

Codificador / decodificador de entidades HTML es el más cercano después de este: Convierte texto en entidades HTML y viceversa, escapando <, >, &, comillas y opcionalmente todos los caracteres no ASCII.

¿Qué más conviene tener abierto al lado?

Codificador / decodificador de URL y Validador / decodificador de UUID: aparecen en la misma tarea lo bastante a menudo como para merecer otra pestaña.

Para saber más

Todas las guías
Explicación¿Qué es un JWT (JSON Web Token)?Un JWT es un token compacto y firmado que lleva identidad entre servicios. Aquí tienes sus tres partes, su uso para autenticación y sus límites de seguridad.ExplicaciónQué hay dentro de un JWT y qué no protegeUn JWT está firmado, no cifrado. Cualquiera que tenga el token puede decodificar la carga y leer todas sus reclamaciones. Aquí tienes un token real, decodificado sin ninguna clave, más los tres ataques que la firma debe frenar y el único problema que no puede resolver.ExplicaciónEscapar una cadena para JSON: tres caracteres son obligatorios y uno es una trampaLa RFC 8259 exige escapar exactamente tres cosas dentro de una cadena JSON. Todo lo demás es opcional. El que de verdad rompe canalizaciones es un semisustituto suelto: legal en el texto JSON, imposible en UTF-8 y sustituido en silencio en cuanto tus datos se escriben.GuíaCodificación de URL explicada: el porcentaje y dónde muerdeLa codificación por porcentaje se decide componente a componente, y de ahí viene toda la confusión. Una barra es legal en una ruta y debe escaparse en un valor de consulta; un espacio es %20 en una ruta y puede ser + en un cuerpo de formulario. Aquí están los conjuntos exactos de la RFC 3986, las tres funciones de JavaScript que discrepan y las trampas.Explicación¿Qué es la codificación Base64?Base64 convierte datos binarios en texto seguro. Aquí tienes qué hace, por qué existe, por qué no es cifrado y el coste de tamaño que añade.GuíaConstruir una URL con parámetros que sobreviva a un copiar y pegarTres codificaciones, una diferencia visible: %20 o +. El modo formulario del generador reproduce URLSearchParams byte a byte en diecisiete valores, pero dale una URL base con un fragmento y todos los parámetros acaban dentro del hash, donde ningún servidor los ve.