Qué es un JWT
Un JWT (JSON Web Token) es un formato compacto para transmitir información entre dos partes de forma que pueda comprobarse su autenticidad. Se usa muchísimo en autenticación: cuando inicias sesión en una aplicación, el servidor suele devolverte un JWT que tu navegador guarda y reenvía en cada petición para demostrar quién eres.
Un JWT tiene tres partes separadas por puntos: header.payload.signature. Cada parte es texto codificado en Base64url (una variante de Base64 apta para URLs). Este decodificador divide el token por los puntos, decodifica el header y el payload, y te los muestra como JSON legible, todo dentro de tu navegador.
Cómo usar el decodificador
- Copia el JWT completo desde tu aplicación, la consola del navegador o una cabecera
Authorization. - Pégalo en el campo de arriba. La decodificación es instantánea.
- Revisa el payload (los datos) y el header en formato JSON.
- Si el token trae fechas (
iat,exp,nbf), verás cada una convertida a una fecha legible y un distintivo que indica si el token está vigente o expirado. - Usa el botón Copiar para llevarte el JSON del payload o del header.
Las tres partes de un JWT
- Header: indica el algoritmo de firma (
alg, por ejemploHS256) y el tipo (typ, normalmenteJWT). - Payload: contiene los claims, es decir, los datos. Algunos son estándar (
sub,iat,exp,nbf,iss,aud) y otros los define tu aplicación. - Signature: es el resultado de firmar el header y el payload con una clave. Sirve para comprobar que nadie alteró el token, pero no se lee como los otros dos: para validarla necesitas la clave.
Los campos de tiempo se guardan como epoch (segundos desde el 1 de enero de 1970 UTC). Para obtener la fecha real se multiplican por 1000 y se convierten a un objeto de fecha.
Ejemplo resuelto
Tomemos este token de muestra:
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkFkYSBMb3ZlbGFjZSIsImlhdCI6MTUxNjIzOTAyMiwiZXhwIjoxNTE2MjQyNjIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5cEl header decodificado es:
{ "alg": "HS256", "typ": "JWT" }Y el payload:
{ "sub": "1234567890", "name": "Ada Lovelace", "iat": 1516239022, "exp": 1516242622 }El campo iat vale 1516239022; al multiplicarlo por 1000 y convertirlo obtenemos el 18 de enero de 2018, 01:30:22 UTC. El exp vale 1516242622, exactamente 3600 segundos (una hora) después: el 18 de enero de 2018, 02:30:22 UTC. Como esa fecha ya pasó, el decodificador marca el token como expirado.
Tabla de claims habituales
| Claim | Significado | Ejemplo |
|---|---|---|
iss | Emisor del token | mi-servidor |
sub | Sujeto (usuario) | 1234567890 |
iat | Emitido en (epoch) | 1516239022 |
exp | Expira en (epoch) | 1516242622 |
nbf | Válido desde (epoch) | 1516239022 |
Preguntas frecuentes
¿Es seguro pegar mi token aquí?
Sí. Todo el proceso ocurre en tu navegador con JavaScript; el token nunca se envía a ningún servidor. Aun así, evita compartir tokens de producción activos en herramientas públicas o capturas de pantalla: mientras no expiren, dan acceso a tu cuenta.
¿Por qué veo mis datos sin tener la clave?
Porque Base64url no es cifrado, solo una forma de representar texto. Cualquiera que tenga el token puede leer el header y el payload. Por eso nunca debes poner contraseñas ni secretos dentro de un JWT: ponerlos ahí es como escribirlos en una postal.
¿Cómo verifico la firma?
La verificación necesita la clave secreta (en HS256) o la clave pública (en RS256) que usó el emisor, y se hace en el servidor con una librería de JWT. Este decodificador solo lee el contenido: decodificar y verificar son cosas distintas.
¿Qué diferencia hay entre decodificar y verificar?
Decodificar es traducir el Base64url a JSON para leerlo. Verificar es comprobar, con la clave, que la firma es válida y que el token no fue alterado ni ha expirado. Confiar en un token sin verificar la firma es un error de seguridad.