What a JWT decoder shows

A JWT has three Base64url sections joined by dots: header, payload, and signature. A decoder reads the header and payload as JSON so you can inspect claims like sub, exp, and iat. The signature is not human-readable.

Does this verify the JWT signature?

No. Decoding a JWT shows what the token claims, but it does not prove the token is authentic. Always verify the signature against your secret or public key on the server before trusting any claim, and never store secrets in a JWT payload.

Decodificador JWT online — Leer claims

token.jwt

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkFkYSBMb3ZlbGFjZSIsImlhdCI6MTUxNjIzOTAyMn0.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

decoded.json

Pega un JWT para decodificar su header y payload. La decodificación no verifica la firma.

Relacionado

Guías para JWT Decode

Todas las guías →

Guía

Privacidad: herramientas JSON que no salen de tu navegador

Herramientas de JSON, JWT y Base64 que procesan cada byte localmente en la pestaña de tu navegador: sin punto de subida, sin registros del lado del servidor de las cargas pegadas.

Guía

Cómo decodificar cadenas Base64 (y payloads JWT)

Base64 es codificación reversible, no cifrado. Decodifícalo en un paso, maneja Unicode correctamente y lee las secciones de JWT que usan Base64url.

Guía

Valida el JSON antes de las solicitudes API

Una validación rápida antes de enviar una solicitud API puede separar los problemas de sintaxis JSON de los errores de autenticación, esquema y backend.

Decodificar un JSON Web Token (JWT)

Un JWT consta de tres segmentos codificados en Base64url y unidos por puntos: header.payload.signature. Pega el token y haz clic en Decode para leer el header y el payload como JSON. Todo el procesamiento se realiza en tu navegador —— el token no se envía a ningún servidor, algo importante dado que los JWT suelen contener claims de identidad y sesión.

Da igual que busques decode jsonwebtoken (una sola palabra), jwt decode o * json web token decoder* : esta herramienta sigue el mismo procedimiento : dividir por los puntos, decodificar los dos primeros segmentos como Base64url y mostrar el resultado como JSON.

Decodificar no es verificar

Cualquiera puede decodificar un JWT —— no se necesita ninguna clave porque el payload solo está codificado, no cifrado. Decodificar solo te dice qué afirma el token; no prueba que sea auténtico. Verifica siempre la firma en el servidor con tu clave secreta o pública antes de confiar en ningún claim, y nunca pongas contraseñas o secretos en el payload de un JWT.

Claims habituales

iss emisor · sub sujeto · aud audiencia
exp expiración · iat emitido en · nbf no antes de (marcas de tiempo Unix)

Para más detalles consulta Cómo decodificar un JWT y Por qué Base64 no es cifrado. Para inspeccionar segmentos manualmente usa el decodificador Base64.

FAQ

¿Esta herramienta verifica la firma del JWT?

No. La decodificación solo muestra lo que el token afirma ; no prueba autenticidad. Verifica siempre la firma en el servidor con tu clave secreta o pública antes de confiar en ningún claim, y nunca pongas información sensible en el payload de un JWT.