JWT Decoder
Decodificador JWT
Decodifica cualquier token JWT para inspeccionar sus reclamaciones de encabezado y cuerpo sin necesidad del secreto de firma.
Cómo usar Decodificador JWT
- 1.Pega el JWT Pega el token JWT completo (tres partes codificadas en Base64url separadas por puntos).
- 2.Inspecciona el encabezado y el cuerpo El encabezado (algoritmo, tipo) y el cuerpo (reclamaciones, caducidad) se decodifican y muestran como JSON formateado.
- 3.Comprueba la caducidad y las reclamaciones Las marcas de tiempo exp, iat y nbf se convierten automáticamente a fechas legibles.
- 4.Copia las secciones decodificadas Copia el encabezado o el cuerpo decodificado en JSON para usarlo en depuración.
Decodificador JWT & JSON Developer Standards
JSON is the standard format for web APIs and modern applications. Using the Decodificador JWT helps you check syntax, catch formatting errors, and keep your data clean and readable.
Zero-Server Security
All data entered into Decodificador JWT runs directly inside your browser sandbox. Nothing is ever sent across the network or saved on remote servers.
Clean & CI/CD Ready
Well-formatted JSON prevents runtime syntax bugs, makes code reviews easier, and ensures smooth API data exchange.
Decodificador JWT Preguntas frecuentes
¿Es seguro pegar un JWT aquí?
El decodificador se ejecuta por completo en tu navegador: tu JWT nunca se envía a ningún lugar. Sin embargo, trata los JWT como tokens sensibles y evita pegar tokens de producción con larga duración en cualquier herramienta online.
¿El decodificador verifica la firma del JWT?
No. El decodificador solo decodifica el encabezado y el cuerpo codificados en Base64url. No verifica la firma, lo que requiere el secreto de firma o la clave pública. Usa esta herramienta solo para inspección, no para validación de seguridad.
¿Qué son las reclamaciones JWT?
Las reclamaciones son pares clave-valor en el cuerpo del JWT. Las reclamaciones estándar incluyen: iss (emisor), sub (sujeto), aud (audiencia), exp (caducidad), nbf (no válido antes de), iat (emitido en) y jti (ID del JWT). Las reclamaciones personalizadas son propiedades adicionales añadidas por la aplicación emisora.
¿A qué se refiere el campo alg del encabezado?
Valores comunes: HS256 (HMAC-SHA256, simétrico), RS256 (RSA-SHA256, asimétrico), ES256 (ECDSA-SHA256, asimétrico). HS256 usa un secreto compartido; RS256 y ES256 usan un par de claves pública/privada.
¿Por qué mi token aparece como no válido?
Asegúrate de pegar el token completo, incluidas las tres partes separadas por puntos. Si el token se copió desde una URL, comprueba que no se haya incluido codificación de URL (como %3D en lugar de =).
Can this tool handle large, complex JSON payloads?
Yes. Because the tool operates directly inside modern V8 JavaScript execution engines, it easily processes complex multi-megabyte payloads containing thousands of nested keys with negligible latency.
Are my proprietary payloads or secrets stored or cached?
No. BeYourTools implements zero tracking, zero telemetries, and zero database persistence. Everything stays strictly inside your browser memory and disappears the moment your tab is closed.