JWT Explained: Structure, Algorithms, and Security Pitfalls
JSON Web Tokens are the standard for stateless authentication — but they come with subtle security risks. Learn how JWTs work and what can go wrong.
JWT
Decodificador e Inspector JWT
Decodificar cabecera, payload, claims y expiración
Decodifica e inspecciona tokens JWT al instante — sin enviar datos a ningún servidor. Visualiza la cabecera completa, claims del payload, algoritmo de firma, fecha de emisión y fecha de expiración en una tabla formateada. Decodificador JWT gratuito para desarrolladores.
TOKEN JWT
// guía rápida
JSON Web Token (JWT) es un estándar abierto (RFC 7519) que define una forma compacta y autónoma de transmitir información de forma segura entre partes como un objeto JSON. Esta información puede ser verificada y confiable porque está firmada digitalmente.
Cómo usar esta herramienta:
- Pega tu JWT (que normalmente comienza con "eyJ...") en el área de texto de entrada.
- La herramienta dividirá el token en tres partes: Cabecera (define el algoritmo y el tipo de token), Payload (contiene los claims o datos del token) y Firma.
- Analizará la marca de tiempo de expiración de UNIX (`exp`) y la marca de tiempo de emisión (`iat`) en un formato de fecha y hora local legible, mostrando si el token está activo o expirado.
// preguntas frecuentes
¿Cómo está estructurado un JWT?
Un JSON Web Token consta de tres partes separadas por puntos (.): Cabecera (Header), Payload y Firma (Signature). La Cabecera contiene el tipo de token y el algoritmo de firma. El Payload contiene los claims (datos sobre el usuario o el token). La Firma se utiliza para verificar que el remitente es quien dice ser.
¿Es seguro pegar mis JWTs aquí?
Sí, porque nuestro decodificador JWT se ejecuta completamente en el lado del cliente. El token se analiza mediante JavaScript en tu navegador y no se realizan peticiones de red. Tus credenciales de autenticación sensibles nunca salen de tu dispositivo.
¿Puede esta herramienta verificar la firma de mi JWT?
No, esta herramienta solo decodifica y muestra los metadatos y claims del payload. La verificación de la firma requiere la clave secreta o pública asociada con el generador del token, la cual nunca debe compartirse con herramientas en línea por razones de seguridad.