Sobre o Decodificador JWT
El depurador JWT de hidevtool decodifica JSON Web Tokens en seu navegador: inspecciona JSON de header y payload, ve el algoritmo de firma y opcionalmente verifica firmas con secretos HMAC o claves públicas PEM.
La verificación es local—tokens y secretos no se suben.
O que você pode fazer
Qué es un JWT?
Un JSON Web Token es una cadena compacta con tres segmentos Base64URL: header.payload.signature. Suele llevar claims (id de usuario, roles, caducidad) y demuestra integridad mediante firma digital o MAC.
Las tres partes
- Header — JSON con typ (normalmente JWT) y alg (algoritmo de firma).
- Payload — claims JSON; puede incluir sub, exp, iat, etc.
- Signature — prueba que el emisor firmó las dos primeras partes; la manipulación rompe la verificación.
Claims comunes en payload
- sub — sujeto (usuario o id de cliente).
- exp — expiración (segundos Unix); pasado exp el token caduca.
- iat / nbf — emitido y no antes; útiles para comprobar desfase horario.
- aud / iss — audiencia y emisor cuando tu API los exige.
Tipos de clave de verificación
- HMAC (HS256/384/512) — pega el secreto compartido usado para firmar el token.
- RSA / ECDSA (RS, PS, ES) — pega la clave pública SPKI PEM que corresponde al firmante.
Dicas de segurança
- 1No pegues secretos de producción en sitios no confiables—hidevtool es local, pero trata las claves como sensibles.
- 2Revisa exp y nbf antes de confiar en un token; esta herramienta muestra tiempos legibles para esos claims.
- 3alg en el header debe coincidir con la clave que proporcionas; rechaza tokens con algoritmos inesperados.
- 4Los JWT están firmados, no cifrados—quien tenga el token puede leer el payload salvo cifrado adicional (JWE).
- 5Rota claves de firma y usa tokens de acceso de corta vida en flujos OAuth/OIDC.
Casos de uso comuns
OAuth y OpenID
Inspecciona tokens de acceso o ID de proveedores de identidad; verifica firmas HS o RS con el secreto o clave JWKS configurada.
API gateways
Depura tokens rechazados por Kong, NGINX o gestión cloud—compara alg, claims y firma localmente.
Cookies de sesión
Decodifica JWT de sesión de apps para ver caducidad y roles sin enviar cookies a un decodificador servidor.
Perguntas frequentes
- Qué algoritmos de firma JWT se pueden verificar?
- Esta página pode verificar no navegador as seguintes alg do Header (12 no total): HMAC (informe a chave simétrica): HS256, HS384, HS512 RSA PKCS#1 (chave pública SPKI PEM): RS256, RS384, RS512 RSA-PSS (chave pública SPKI PEM): PS256, PS384, PS512 ECDSA (chave pública SPKI PEM): ES256, ES384, ES512 Não suportadas: alg none, EdDSA (Ed25519 etc.) e qualquer alg fora das listadas. A chave pública deve ser SPKI PEM (BEGIN PUBLIC KEY).
- Cómo decodifico un JWT online?
- Cole el token en el campo JWT. Header y payload aparecen como JSON formateado en cuanto la estructura es válida.
- Cómo verifico la firma de un JWT online?
- Tras pegar el token, introduce el secreto HMAC o la clave pública PEM que coincida con alg del header. La herramienta indica si la firma coincide.
- Por qué la verificación dice «none» o se omite?
- Si alg es none o el token está mal formado, no puede verificarse. Para HS/RS/PS/ES, aporta el material de clave correspondiente.
- Se envía mi secreto JWT a servidores de hidevtool?
- No. Decodificar y verificar ocurren enteramente en seu navegador; nada se sube.