Cómo decodificar un JWT
- Pega el token (el prefijo
Bearerse elimina automáticamente). - Lee el encabezado y el payload decodificados como JSON formateado y consulta en la tabla de claims las fechas de expiración y de emisión.
- Si quieres, abre Verificar firma y pega el secreto HMAC o la clave pública en formato PEM.
Cómo está formado un JWT
Un JSON Web Token consta de tres partes codificadas en Base64URL y separadas por puntos: header.payload.signature. El encabezado indica el algoritmo de firma (por ejemplo, HS256 o RS256), el payload contiene los claims y la firma demuestra que las dos primeras partes no se alteraron.
Claims registrados
iss– quién emitió el tokensub– el usuario o sujetoaud– la audiencia o destinatario previstoexp,nbf,iat– fechas de expiración, de inicio de validez y de emisión como marcas de tiempo Unixjti– un ID único del token
Preguntas frecuentes
¿Es seguro pegar mi token aquí?
El token se decodifica en tu navegador y nunca se envía a ningún sitio. Aun así, trata los tokens activos como contraseñas y evita compartirlos.
¿Cualquiera puede leer el payload de un JWT?
Sí. Un JWT firmado solo está codificado en Base64URL, no cifrado, así que nunca pongas secretos en el payload. Solo los tokens cifrados (JWE) ocultan su contenido.
¿Por qué la firma no se comprueba automáticamente?
Para verificarla se necesita el secreto o la clave pública del emisor. Pégalo en Verificar firma; se admiten los algoritmos HS, RS, PS y ES.