Decodificador de JWT

Divide un JSON Web Token por sus dos puntos en header, payload y firma, decodifica en Base64URL los segmentos de header y payload, y muestra cada uno como JSON formateado y legible.

Pega una cadena JWT completa en el cuadro de entrada; el header y el payload decodificados aparecen automáticamente en dos paneles separados debajo. El segmento de firma se muestra tal cual, ya que decodificarlo no produciría texto con sentido.

Un token que empieza por `eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjM0In0.signature` se decodifica en un header `{"alg":"HS256"}` y un payload `{"sub":"1234"}` — el campo `alg` indica el algoritmo de firma, y `sub` es un claim estándar que identifica el sujeto del token.

Esto revela los claims del token — cosas como `exp` (expiración), `iat` (emitido en) y cualquier campo personalizado que haya añadido una aplicación — pero no verifica la firma, así que no puede decirte si el token es auténtico o ha sido manipulado; cualquiera puede construir un JWT con un payload arbitrario sin conocer la clave de firma.

Verificar la firma de un JWT requiere la clave secreta (para algoritmos HMAC como HS256) o la clave pública (para algoritmos RSA/ECDSA como RS256) usada para firmarlo — como esta herramienta nunca solicita ni recibe esa clave, solo puede decodificar, nunca validar.

Los payloads de JWT suelen contener IDs de usuario, roles o permisos que no deberían exponerse, por lo que la decodificación ocurre por completo en tu navegador en vez de en un servidor en el que tendrías que confiar el token.

La decodificación se ejecuta enteramente en tu navegador mediante JavaScript del lado del cliente; el token que pegas nunca se sube a un servidor ni se almacena.