token.jwt
decoded.json
Pega un JWT para decodificar su header y payload. La decodificación no verifica la firma.

Relacionado

Guías para JWT Decode

Todas las guías →

Decodificar un JSON Web Token (JWT)

Un JWT consta de tres segmentos codificados en Base64url y unidos por puntos: header.payload.signature. Pega el token y haz clic en Decode para leer el header y el payload como JSON. Todo el procesamiento se realiza en tu navegador —— el token no se envía a ningún servidor, algo importante dado que los JWT suelen contener claims de identidad y sesión.

Da igual que busques decode jsonwebtoken (una sola palabra), jwt decode o json web token decoder : esta herramienta sigue el mismo procedimiento : dividir por los puntos, decodificar los dos primeros segmentos como Base64url y mostrar el resultado como JSON.

Decodificar no es verificar

Cualquiera puede decodificar un JWT —— no se necesita ninguna clave porque el payload solo está codificado, no cifrado. Decodificar solo te dice qué afirma el token; no prueba que sea auténtico. Verifica siempre la firma en el servidor con tu clave secreta o pública antes de confiar en ningún claim, y nunca pongas contraseñas o secretos en el payload de un JWT.

Claims habituales

  • iss emisor · sub sujeto · aud audiencia
  • exp expiración · iat emitido en · nbf no antes de (marcas de tiempo Unix)

Para más detalles consulta Cómo decodificar un JWT y Por qué Base64 no es cifrado. Para inspeccionar segmentos manualmente usa el decodificador Base64.

FAQ

¿Esta herramienta verifica la firma del JWT?

No. La decodificación solo muestra lo que el token afirma ; no prueba autenticidad. Verifica siempre la firma en el servidor con tu clave secreta o pública antes de confiar en ningún claim, y nunca pongas información sensible en el payload de un JWT.