Decodificador JWT

Pega un JWT para decodificar header y payload automáticamente. Agrega un secreto o clave pública PEM para verificar firmas HS, RS, PS o ES localmente en tu navegador.

Acerca de Decodificador JWT

El depurador JWT de hidevtool decodifica JSON Web Tokens en tu navegador: inspecciona JSON de header y payload, ve el algoritmo de firma y opcionalmente verifica firmas con secretos HMAC o claves públicas PEM.

La verificación es local—tokens y secretos no se suben.

Qué puedes hacer

¿Qué es un JWT?

Un JSON Web Token es una cadena compacta con tres segmentos Base64URL: header.payload.signature. Suele llevar claims (id de usuario, roles, caducidad) y demuestra integridad mediante firma digital o MAC.

Las tres partes

  1. Header — JSON con typ (normalmente JWT) y alg (algoritmo de firma).
  2. Payload — claims JSON; puede incluir sub, exp, iat, etc.
  3. Signature — prueba que el emisor firmó las dos primeras partes; la manipulación rompe la verificación.

Claims comunes en payload

  • sub — sujeto (usuario o id de cliente).
  • exp — expiración (segundos Unix); pasado exp el token caduca.
  • iat / nbf — emitido y no antes; útiles para comprobar desfase horario.
  • aud / iss — audiencia y emisor cuando tu API los exige.

Tipos de clave de verificación

  • HMAC (HS256/384/512) — pega el secreto compartido usado para firmar el token.
  • RSA / ECDSA (RS, PS, ES) — pega la clave pública SPKI PEM que corresponde al firmante.

Consejos de seguridad

  1. 1No pegues secretos de producción en sitios no confiables—hidevtool es local, pero trata las claves como sensibles.
  2. 2Revisa exp y nbf antes de confiar en un token; esta herramienta muestra tiempos legibles para esos claims.
  3. 3alg en el header debe coincidir con la clave que proporcionas; rechaza tokens con algoritmos inesperados.
  4. 4Los JWT están firmados, no cifrados—quien tenga el token puede leer el payload salvo cifrado adicional (JWE).
  5. 5Rota claves de firma y usa tokens de acceso de corta vida en flujos OAuth/OIDC.

Casos de uso frecuentes

OAuth y OpenID

Inspecciona tokens de acceso o ID de proveedores de identidad; verifica firmas HS o RS con el secreto o clave JWKS configurada.

API gateways

Depura tokens rechazados por Kong, NGINX o gestión cloud—compara alg, claims y firma localmente.

Cookies de sesión

Decodifica JWT de sesión de apps para ver caducidad y roles sin enviar cookies a un decodificador servidor.

Preguntas frecuentes

¿Qué algoritmos de firma JWT se pueden verificar?
Esta página puede verificar en el navegador las siguientes alg del Header (12 en total): HMAC (introduce la clave simétrica): HS256, HS384, HS512 RSA PKCS#1 (clave pública SPKI PEM): RS256, RS384, RS512 RSA-PSS (clave pública SPKI PEM): PS256, PS384, PS512 ECDSA (clave pública SPKI PEM): ES256, ES384, ES512 No admitidas: alg none, EdDSA (Ed25519, etc.) y cualquier alg distinta de las anteriores. La clave pública debe ser SPKI PEM (BEGIN PUBLIC KEY).
¿Cómo decodifico un JWT en línea?
Pega el token en el campo JWT. Header y payload aparecen como JSON formateado en cuanto la estructura es válida.
¿Cómo verifico la firma de un JWT en línea?
Tras pegar el token, introduce el secreto HMAC o la clave pública PEM que coincida con alg del header. La herramienta indica si la firma coincide.
¿Por qué la verificación dice «none» o se omite?
Si alg es none o el token está mal formado, no puede verificarse. Para HS/RS/PS/ES, aporta el material de clave correspondiente.
¿Se envía mi secreto JWT a servidores de hidevtool?
No. Decodificar y verificar ocurren enteramente en tu navegador; nada se sube.