Paso 1
Pegue el token compacto
Pegue el valor completo de header.payload.signature. Se acepta y elimina localmente un prefijo Bearer inicial antes de la decodificación.
Gratis JWT Decodificador Online
Inspecciona JWT encabezados, cargas útiles, reclamos, tiempos de vencimiento y segmentos de firma en tu navegador. Decodificar localmente sin iniciar sesión; Esta herramienta no verifica firmas.
JWT espacio de trabajo de inspección
Decodificar un token compacto
Este decodificador JWT en línea gratuito se ejecuta en su navegador sin necesidad de registrarse ni iniciar sesión. Lee un token compacto para su inspección y no verifica la firma.
Pegue un token compacto completo de tres segmentos. un líder Bearer
El prefijo se elimina localmente antes de la decodificación.
Solo decodificador: la firma, el algoritmo, los valores de reclamo y las sugerencias de hora del reloj del navegador no son verificación.
0 caracteres
Atajo de teclado: Ctrl/Comando + Enter. El token de origen no se cambia si falla la decodificación.
Resultado
Decodifica un token compacto para inspeccionar sus segmentos y reclamos.
El encabezado y la carga útil formateados JSON, el segmento de firma sin formato, los reclamos estándar y los valores de tiempo legibles aparecerán aquí.
Cómo inspeccionar un JWT
Paso 2
Leer el JSON decodificado
Revise los metadatos del encabezado, los reclamos de carga útil, el segmento de firma sin procesar y cualquier campo de tiempo exp, nbf o iat disponible.
Paso 3
Verifica en tu aplicación
Trate cada valor mostrado como no confiable hasta que su servidor o SDK confiable verifique la firma, el emisor, la audiencia, la ventana de tiempo y el algoritmo permitido.
Comprender el token decodificado
Un token firmado compacto tiene tres segmentos Base64url separados por puntos. Este decodificador hace que cada segmento sea legible sin cambiarlo ni afirmar que es auténtico.
Encabezado: algoritmo y tipo
El encabezado puede declarar valores como alg, typ y kid. Describen lo que dice el token sobre sí mismo; Esta página no verifica que un algoritmo o clave sea aceptable para su aplicación.
Carga útil: reclamaciones y datos personalizados
La carga útil es legible JSON con reclamos registrados y personalizados. Úselo para inspeccionar un valor de depuración, pero no almacene secretos en una carga útil de token firmado.
Firma: presente, no verificada
El tercer segmento se muestra exactamente como se suministra. Su presencia es sólo información estructural y no prueba que el token haya sido firmado por un emisor confiable.
Leer reclamos comunes JWT
El panel de resultados muestra las reclamaciones disponibles sin inventar valores faltantes. Las visualizaciones de tiempo son útiles para la depuración y se calculan a partir del reloj de este navegador.
Vencimiento, no anterior, y emitido en
exp, nbf e iat son valores de NumericDate. Revise sus UTC y sus representaciones locales, luego aplique la política de validación y desviación horaria requerida por su servicio.
Emisor, sujeto y audiencia
iss identifica un emisor reclamado, un sujeto reclamado y una audiencia a la audiencia prevista. Su significado y valores aceptables pertenecen a la configuración de su aplicación de confianza.
JWT ID y reclamos personalizados
jti y los campos personalizados se muestran con el resto de la carga útil. Esta herramienta no interpreta la semántica empresarial ni determina si un reclamo está autorizado.
La decodificación no es verificación
JSON legible, una insignia de caducidad o un algoritmo nombrado en el encabezado no son evidencia de que un token sea confiable. Mantenga las decisiones de seguridad en su aplicación o biblioteca de identidades confiables.
Legible no significa auténtico
Cualquiera que tenga un JWT firmado puede leer su encabezado y carga útil. Un decodificador no puede establecer quién lo emitió o si alguien lo alteró.
El algoritmo del encabezado es una entrada que no es confiable
Muestra alg para ayudar en la depuración, pero configura los algoritmos y claves permitidos en el lado de verificación. No seleccione una política de verificación de un encabezado de token no verificado.
Utilice la ruta de verificación correcta
Verifique la criptografía y las reglas aplicables de emisor, audiencia, vencimiento y no anterior en el servicio o SDK responsable de aceptar el token.
Corregir errores comunes de decodificación JWT
El espacio de trabajo informa dónde se detuvo la decodificación para que puedas corregir un token copiado, codificado, truncado o no compatible sin tener que adivinar.
Tres segmentos para JWS compacto
Este decodificador espera header.payload.signature con exactamente dos puntos. Un segmento extra o faltante a menudo significa que el valor se copió de forma incompleta o no es un token firmado compacto.
Cinco segmentos normalmente necesitan descifrado JWE
Un valor compacto de cinco segmentos suele ser un JWE cifrado. Necesita claves de descifrado y está fuera del alcance de este decodificador.
Base64url, UTF-8 y JSON deben analizarse
El encabezado y la carga útil deben utilizar una URL Base64 válida, decodificarse como UTF-8 y contener objetos JSON. El decodificador nombra la capa fallida y no repara automáticamente la entrada.
Privacidad y límites
Este decodificador en línea gratuito se ejecuta en la pestaña de su navegador. No es necesario registrarse ni iniciar sesión. Lee un token compacto para su inspección y no verifica su firma.
- • Esta página decodifica un token compacto de tres segmentos a la vez. No descifra valores JWE de cinco segmentos, tokens anidados, cargas útiles separadas ni entradas por lotes.
- • La decodificación, el segmento de firma, los resúmenes de reclamos y las sugerencias de tiempo del reloj del navegador no verifican la autenticidad, la integridad, el emisor, la audiencia o la autorización.
- • No se proporciona ningún secreto, clave privada, clave pública, búsqueda JWKS o flujo de trabajo de verificación de firma. No pegue claves de firma en esta página.
- • Una carga útil JWT puede ser legible para cualquiera que tenga un token firmado sin formato. No coloque contraseñas, claves privadas u otros datos confidenciales en él.
Preguntas frecuentes
¿Este JWT decodificador es de uso gratuito?
Sí. Este JWT Decodificador es de uso gratuito en línea y no requiere registro ni inicio de sesión.
¿Este decodificador verifica una firma JWT?
No. Decodifica el token compacto únicamente para inspección. Su aplicación o un SDK confiable debe verificar la firma con la clave correcta y el algoritmo permitido antes de confiar en las afirmaciones.
¿Cómo puedo decodificar un JWT sin un secreto?
El encabezado y la carga útil en un JWT compacto se pueden decodificar en Base64url en datos legibles sin un secreto. Se utiliza una clave pública o secreta para la verificación de la firma, algo que esta página no realiza.
¿Qué significa exp en un JWT?
El reclamo de exp es una fecha numérica de vencimiento. Esta página lo convierte a UTC y a la hora local del navegador para la depuración, pero el estado mostrado no es validación de token.
¿Qué son iat y nbf?
iat es el momento de emisión y nbf es el momento no anterior. Ambas son reclamaciones NumericDate opcionales. Los servidores pueden aplicar sus propias reglas de validación y desfase del reloj.
¿Por qué mi JWT tiene cinco partes?
Un token compacto de cinco segmentos suele ser un JWE, un formato cifrado. Esta página solo admite tokens compactos de estilo JWS de tres segmentos y no puede descifrar contenido JWE.
¿Puedo pegar Autorización: Bearer seguido de un token?
Sí. Un prefijo Bearer inicial se elimina localmente antes de que este decodificador lea el token compacto. Aún se requiere el token completo de tres segmentos.
¿Están cifradas las cargas útiles de JWT?
Un JWT de tres segmentos firmado puede ser decodificado por cualquiera que lo tenga; su encabezado y carga útil no son confidenciales simplemente porque están codificados. Los formatos cifrados JWT utilizan una estructura diferente y están fuera del alcance de esta herramienta.
¿Por qué aún se puede decodificar un token caducado?
La decodificación lee la representación del token. La caducidad afecta si una aplicación confiable debe aceptar el token, no si su encabezado y carga útil se pueden mostrar para la depuración.
¿Esta página carga o almacena mi token?
El decodificador se ejecuta en esta pestaña del navegador y no requiere una cuenta. No pegue claves de firma ni trate un resultado decodificado como una decisión de seguridad.
Herramientas relacionadas
Continúa con otra herramienta basada en navegador.
Fy Herramientas gratuitas para desarrolladores
Formato decodificado JSON
Formateador y validador de JSON
Pegue JSON o abra un archivo para formatearlo, validarlo, embellecerlo o minimizarlo. Elija sangría, revise los errores del analizador y copie o descargue el resultado en su navegador sin iniciar sesión.
Cy Herramientas gratuitas para desarrolladores
Decodificar texto Base64
Codificador y decodificador Base64 gratuito en línea
Codifica o decodifica texto UTF-8 y URL-seguro Base64 en línea. Pegue un valor, copie el resultado o descárguelo desde su navegador sin registrarse ni iniciar sesión.
Cd Herramientas gratuitas para desarrolladores
Convertir JWT marcas de tiempo
Conversor de marcas de tiempo Unix gratuito en línea
Convertir Marcas horarias Unix en segundos o milisegundos en UTC, hora local o ISO 8601. Convertir fechas volver a marcas horarias en línea sin registro ni inicio de sesión.
Cy Herramientas gratuitas para desarrolladores
Decodificar componentes URL
Codificador y decodificador de URL gratuito en línea
Codificar o decodificar componentes URL, URLs completas y parámetros de consulta con codificación por ciento UTF-8. Copiar el resultado en línea sin registro ni inicio de sesión.