Decodificar JWT en línea — Header, payload y firma

Pega un JWT para ver su cabecera y su payload como JSON con formato. La firma se muestra aparte. No verificamos firmas, y tu token nunca se envía a un servidor.

Cargando…
Decodificador JWT para inspeccionar tokens en local
Decodifica la cabecera y el payload de un JWT en tu navegador. Puedes verificar la firma en el momento con un secreto para HMAC o una clave pública para RSA, RSA-PSS, ECDSA o EdDSA. Para JWKS y la comprobación de claims, usa jwt-verify.

Cómo funciona aquí la decodificación de JWT

Pega el token completo (tres segmentos Base64URL separados por puntos). La cabecera y el payload se muestran como JSON con formato. La decodificación se actualiza al editar. Los editores empiezan vacíos, así que usa **Cargar ejemplo** o elige un algoritmo para cargar una fixture de demostración. La verificación opcional compara la firma cuando pegas el secreto de firma o la clave pública (según el algoritmo). Los tokens con alg=none se decodifican como no firmados. Para obtener un JWKS o comprobar la audiencia y el emisor (issuer), usa jwt-verify.

Privacidad y límites

Los tokens nunca salen de tu pestaña del navegador. Aquí no recuperamos claves JWKS remotas ni validamos claims exp/nbf/aud. Combínalo con jwt-encode para fixtures, o con jwt-verify para políticas de confianza asimétrica completas.

Flujo típico

Token de acceso OAuth

Entrada de ejemplo

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

Salida esperada

El header muestra alg y typ. El payload muestra sub, exp y scopes.

Depurar errores 401

Entrada de ejemplo

Pegar el token desde la pestaña Red

Salida esperada

Comprueba la claim exp y el issuer antes de culpar a las rutas de la API.

Utilidades de codificación relacionadas

Para firmar tokens HS256 destinados a fixtures, usa jwt-encode. Codificar y decodificar aquí no establece confianza, así que apóyate en tu proveedor de identidad para eso.

FAQ de la decodificación de JWT

Decodificar ≠ verificar

¿Esto verifica firmas?

Sí, como opción. La verificación en el momento cubre los tokens sin firmar (alg none) y HMAC con HS256, HS384 o HS512. También cubre RSA con RS256, RS384 o RS512, RSA-PSS con PS256, PS384 o PS512, ECDSA con ES256, ES384 o ES512, y EdDSA con Ed25519. Pega el secreto o la clave pública. Esta página no obtiene ningún JWKS ni comprueba los claims exp, aud e iss. Para eso usa jwt-verify. Decodificar por sí solo nunca demuestra la autenticidad.

¿Se envía mi token a FastMinify?

No. La decodificación se ejecuta por completo en tu navegador.

¿Puedo pegar refresh tokens con seguridad?

El procesamiento se queda en local, pero trata los tokens como secretos. Evita compartir pantalla y vacía el campo al terminar.

Codificación

Codifica o decodifica Base64, componentes URL y entidades HTML — solo en el cliente.

Explorar otras categorías de herramientas