Descodifica un JSON Web Token localmente en tu navegador a JSON legible: cabecera y payload a la vista, sin subir nada.
Procesando localmente en tu dispositivo ...
Procesando localmente en tu dispositivo ...
0%
Tus archivos nunca salieron de tu dispositivo
No. Todo se ejecuta en tu navegador: tu archivo nunca sale de tu dispositivo. Cómo se puede comprobar
Un JSON Web Token (JWT, RFC 7519) es un token compacto formado por tres partes separadas por puntos: cabecera, payload y firma. La cabecera y el payload son simplemente JSON codificado en Base64URL (RFC 7515): no son un secreto, solo una notación segura para el transporte. Esta herramienta separa las partes, descodifica la cabecera y el payload, y muestra el JSON contenido con sangría limpia. De un vistazo ves qué algoritmo se declara y qué datos (claims) transporta el token.
Importante y honesto: esta herramienta solo descodifica, no verifica la firma. Una verificación real necesita el secreto o la clave pública del emisor, que esta herramienta nunca te pide a propósito. Por tanto, un token descodificado todavía no es un token de confianza: su contenido puede estar manipulado. Usa esta vista para entender y depurar (qué claims hay, cuándo caduca exp, cuál es el iss), nunca como prueba de autenticidad.
Todo el procesamiento ocurre por completo de forma local en tu navegador con JavaScript puro: el token no se sube, no se guarda y no se carga ninguna librería externa desde un CDN. Esto es decisivo justo con los tokens, porque un token de acceso o de identidad no debe acabar en un formulario online ajeno. Si lo que pegas no es un JWT válido, la herramienta lo dice con honestidad en lugar de inventar un resultado erróneo.
El depurador de JWT en línea más conocido (jwt.io y similares) advierte él mismo de no pegar tokens reales de producción, porque el procesamiento pasa por un sitio web ajeno. Con esta herramienta esa preocupación no existe: funciona completamente en local en el navegador, sin cuenta y sin transferencia de datos - un token de acceso o de identidad real con datos reales de usuario está aquí igual de seguro que un token de prueba.
| Formatos de entrada | Entrada de texto |
|---|---|
| Formato de salida | JSON |
| Procesamiento por lotes | No |
| Procesamiento | Local en el navegador (JavaScript) |
| Subida de archivos | Ninguna |
Límites: Descodificación pura, sin verificar la firma: la herramienta NO confirma que un token sea auténtico ni que no se haya modificado, para eso haría falta la clave del emisor. Tampoco comprueba si el token ha caducado; solo muestra los claims. Los tokens cifrados (JWE) no se descifran. La cabecera y el payload son solo Base64URL, no cifrado, así que nunca pongas secretos en el payload.
No. La descodificación se ejecuta por completo de forma local en tu navegador; el token nunca sale de tu dispositivo y no se guarda.
No. Solo descodifica la cabecera y el payload. Verificar la firma necesita la clave del emisor, que esta herramienta nunca te pide a propósito. Un token descodificado no es un token de confianza.
Normalmente no. La cabecera y el payload solo están codificados en Base64URL, que cualquiera puede volver a leer. Por eso, no pongas secretos en el payload.
Claims estándar: iss es el emisor, iat el momento de emisión, exp la caducidad (en tiempo Unix), sub el sujeto. La herramienta los muestra tal cual; no los evalúa.
Si lo que pegas no es un JWT válido (número de partes incorrecto o Base64URL roto), la herramienta avisa con un error honesto en lugar de producir un resultado equivocado.
Sí, en cualquier navegador móvil actual igual que en el escritorio - el token permanece local.
No. Sin cuenta, sin registro, sin límite en el número de tokens decodificados.
Sí - más seguro que en la mayoría de depuradores en línea, porque el token nunca sale de tu dispositivo. Aun así: trata un token como una contraseña, pégalo solo cuando realmente lo necesites.
Codificar a Base64 · Calcular una suma hash · Generador de UUID · Ver certificado · Generador de CSR · Generador BIP39