Entrada de JWT
Pega un JWT compacto. Esta herramienta no lo envía.
Consultar un JWT sin transmitirlo
Un JSON Web Token (JWT) tiene tres partes Base64URL separadas por puntos: cabecera, carga útil y firma. Esta página interpreta las dos primeras como JSON y muestra los datos de firma por separado.
El token pegado se queda en la página. No se escribe en la barra de direcciones ni en un enlace compartido, por lo que copiar la URL no copia el token.
No dejar el token en la URL
Los JWT pueden contener identificadores y otros reclamos sensibles. Esta herramienta mantiene el valor pegado dentro de la página.
- La decodificación usa solo APIs del navegador; no hay paso de subida.
- El token no se guarda en la URL ni en un enlace para compartir.
- El código fuente está disponible bajo licencia MIT.
Trata un JWT como información sensible aunque su carga útil sea legible. Ver el código fuente.
Cómo consultar un token
-
Pega el JWT compacto
Pega en el área de texto un token con el formato header.payload.signature.
-
Lee las partes
Consulta la cabecera JSON, la carga útil JSON y la firma codificada.
-
Comprueba los reclamos de tiempo
Cuando exp, iat o nbf es numérico, la página muestra la fecha y marca valores caducados o futuros.
Preguntas frecuentes
¿Se verifica la firma del JWT?
No. Esta página solo decodifica el formato compacto. Que la carga útil sea legible no demuestra que provenga de un emisor de confianza ni que no haya sido modificada.
¿Qué significan exp, iat y nbf?
Son reclamos NumericDate en segundos desde la época Unix: hora de caducidad, hora de emisión y la hora antes de la cual no debe aceptarse el token.
¿Por qué se rechaza mi token?
El mensaje indica el paso: cantidad de partes, datos Base64URL o JSON de la cabecera o la carga útil.
¿Puede descifrar un JWE?
No. El descifrado de JWE y la firma o generación de JWT quedan fuera del alcance de esta herramienta.