Decodificador de JWT gratis

Decodifica el header, el payload y los claims de un JWT localmente — con verificación opcional de firma HMAC. Nada sale de tu navegador.

El decodificador de JWT lee los JSON Web Tokens que emiten y consumen tus APIs — la forma compacta header.payload.signature que usan OAuth 2.0, OpenID Connect e innumerables bibliotecas de autenticación — y los muestra como JSON legible y con formato: el header con su algoritmo e id de clave, el payload con sus claims, y el segmento de firma en bruto. La decodificación ocurre enteramente en tu navegador: la decodificación base64url y el análisis JSON son locales, así que la herramienta es segura incluso con tokens de producción que llevan identificadores de usuario reales, correos y detalles de sesión — nada se sube, registra ni almacena. Lo que este decodificador no hará es exagerar. Puede verificar una firma HMAC cuando pegas el secreto: la herramienta calcula el HMAC con WebCrypto e informa Firma válida o Firma inválida, para que confirmes que un token fue firmado de verdad con el secreto que tienes y no ha sido manipulado en tránsito. Esa comprobación es honesta sobre su alcance: solo HS256, HS384 y HS512 se pueden verificar con un secreto compartido en el navegador. Los tokens asimétricos — RS256, ES256, PS256 y sus hermanos — son la norma en producción, y verificarlos requiere la clave pública del firmante, que una herramienta del lado cliente no puede obtener por ti; el decodificador dice exactamente eso en lugar de adivinar. Los tokens con alg=none, la configuración famosamente insegura, se marcan como sin proteger y sin firma. Los claims de expiración y emisión (exp, iat, nbf) aparecen en su forma epoch en bruto dentro del JSON del payload, exactamente como el token los lleva — la herramienta no convierte ni interpreta, porque la conversión silenciosa es donde los decodificadores mienten. Pega un token de tus registros, de tu inspector de red o de tus pruebas y léelo como lo leería el servidor.

Se procesa localmente en tu navegador