Decodificador JWT gratisDecodifica, verifica y firma JSON Web Tokens.

Pega un token para ver su cabecera y sus claims, con la caducidad y la fecha de emisión como fechas reales.
Comprueba la firma con un secreto o una clave pública, o firma un token nuevo para pruebas.

Los tokens no salen de tu navegadorVerificación de firmaCaducidad legible

Sin registro Sin subir archivos Sin límites

Los tokens y las claves nunca salen de tu navegador.

Token

O prueba un ejemplo

Decodificado

La cabecera, el payload y los claims aparecen aquí.

Los tokens y las claves no salen de tu dispositivo.

TRES PASOS SENCILLOS

Cómo decodificar un JWT

Pega el token

Pega un JWT, con o sin “Bearer”. La cabecera y el payload se decodifican al instante.

Lee los claims

Mira quién lo emitió, para quién y cuándo caduca, como fechas en tu zona horaria con “dentro de 2 horas” o “hace 3 días”.

Verifica la firma

Introduce el secreto o pega la clave pública, el certificado o el JWKS para comprobar que el token no se ha modificado.

WaveSpeed AI

¿Estás creando algo con una API?

Genera imágenes, vídeo y modelos 3D desde tu propio código con WaveSpeed AI.

Empezar a crear Explora más de 1.000 modelos de IA

Más de 1.000 modelos de IA
Imagen, vídeo y 3D
Paga por uso

$1 en créditos gratis para cuentas nuevas elegibles. Sin tarjeta. Los generadores tienen requisitos de cuenta y créditos aparte. decodificador JWT: gratis.

Preguntas frecuentes sobre el decodificador JWT

¿Es seguro pegar aquí un token real?

El token, el secreto y las claves se procesan en tu navegador con su criptografía integrada y nunca se envían a ninguna parte. Aun así, un token activo funciona como una contraseña hasta que caduca, así que es mejor usar tokens de prueba y no compartirlos nunca en chats o tickets.

¿Qué algoritmos puede verificar?

HS256, HS384 y HS512 con un secreto compartido; RS256/384/512 y PS256/384/512 con una clave pública RSA; ES256, ES384 y ES512 con una clave pública EC; y EdDSA (Ed25519) en los navegadores que lo admiten. Las claves pueden ser una clave pública PEM, un certificado X.509, un JWK o un JWKS (elegido según el kid del token).

¿Decodificar un token demuestra que es auténtico?

No. Cualquiera puede leer un JWT, porque la cabecera y el payload solo están codificados, no cifrados. Solo una firma válida demuestra que lo emitió el titular de la clave y que no se ha modificado.

¿Qué es alg “none”?

Un token sin firmar. Los servidores nunca deben aceptarlo, y esta herramienta nunca lo da por verificado.

¿Por qué mi caducidad muestra una fecha muy lejana?

exp, iat y nbf deben ser segundos desde 1970. Un valor en milisegundos es 1.000 veces demasiado grande; el decodificador avisa cuando detecta uno.

¿Puedo crear tokens?

Sí. Cambia a Codificar, edita la cabecera y el payload, y firma con un secreto (HS256/384/512) o una clave privada en formato PEM o JWK. Hay botones rápidos para fijar iat y exp.

¿Se admiten tokens cifrados (JWE)?

No. Un JWE tiene cinco partes y requiere la clave privada del destinatario para leerlo; esta herramienta decodifica y verifica tokens firmados (JWS).

Todas las herramientas gratis