Decodificador JWT
Inspecciona cualquier JSON Web Token en tu navegador. Ve header, payload, firma y claims legibles con timestamps relativos. El token nunca sale de tu dispositivo.
¿Qué es un JWT?
Un JSON Web Token (JWT) es una forma compacta y URL-safe de transmitir claims firmadas. Se usa ampliamente en OAuth/OpenID, autenticación SPA-API y microservicios. Tres partes base64url separadas por puntos: header, payload, firma.
¿Qué hay en un JWT?
Tres partes. Header — declara el algoritmo (HS256, RS256) y el tipo. Payload — claims: subject, expiración, datos. Firma — prueba criptográfica sobre las dos primeras partes.
JWT vs token de sesión
Un JWT lleva la identidad del usuario dentro del token, así el servidor no necesita lookup. Un token de sesión es un ID opaco que mapea a estado del servidor. JWTs escalan sin sticky sessions; sesiones manejan revocación limpiamente.
¿Necesitas decodificar base64 crudo? Prueba nuestro codificador Base64.
Usos comunes
- Debug OAuth/OIDC: Inspecciona tokens de acceso e ID de Auth0, Okta, Cognito, etc.
- Solución de auth API: Cuando aparece un 401, decodifica el token Authorization para revisar exp y audience.
- Integración SSO: Verifica qué claims emite tu IdP antes de cambiar la config SAML/OIDC.
- Verificación de confianza microservicio: Confirma que tokens internos llevan el claim correcto antes de propagar.
- Debug Postman/Insomnia: Pega un token de variables de colección para confirmar tenant antes de probar.
- Inspección de tokens móviles: Decodifica tokens de mitmproxy/Charles Proxy para verificar sujetos de push.
- Code review: Comprueba tokens de ejemplo en PRs y tests — ¿exp es 5 min o 5 días? ¿sub filtra PII? — sin salir del editor.
FAQ
¿Qué es un JWT?
Un JSON Web Token es una forma compacta y URL-safe de representar claims entre dos partes. Definido en RFC 7519, es el formato dominante para autenticación de APIs modernas.
¿Está cifrado un JWT?
No — por defecto un JWT está firmado pero no cifrado. Header y payload son JSON base64url, legibles por cualquiera. Si necesitas confidencialidad, usa JWE (RFC 7516).
¿Cómo difiere base64url de base64?
Base64url es la variante URL-safe (RFC 4648 §5). Reemplaza + y / por - y _, y omite el padding =. JWTs lo usan para viajar seguros en URLs y headers.
¿Por qué no verifica la firma?
Verificar una firma requiere la clave — pegar tu clave de producción en una herramienta web es lo peor que puedes hacer. Excluimos la verificación a propósito. Usa librerías server-side.
JWT vs sesión — ¿cuándo cada uno?
JWTs son ideales para microservicios sin estado y móviles. Las sesiones son más simples para web apps donde controlas ambos extremos y quieres revocación fácil. Sistemas reales suelen usar ambos.
En cifras
- Los JWT están definidos en RFC 7519 (mayo 2015) como un medio compacto y URL-safe de representar claims entre dos partes
- Un JWT no está cifrado por defecto — cualquiera con él puede leer su payload. Usa JWE (RFC 7516) cuando importe la confidencialidad
- La firma usa JWS (RFC 7515) — típicamente HMAC-SHA256 (HS256) para tokens con secreto compartido o RSA-SHA256 (RS256) para verificación asimétrica
- Base64url (usado dentro de JWTs) es la variante URL-safe de RFC 4648 §5 — reemplaza
+//por-/_y omite padding