Decodificador de JWT

Decodifica cualquier JSON Web Token en tu navegador

Este decodificador JWT convierte una cadena opaca eyJ… en JSON legible al instante. Pega un JSON Web Token y lo divide en los puntos, decodifica en Base64URL la cabecera y el payload, y los muestra formateados lado a lado, con la firma bruta por separado. Es la forma más rápida de depurar un flujo de autenticación, inspeccionar un token de una respuesta de API o confirmar exactamente qué claims está emitiendo tu backend.

Cada parte del token está coloreada — cabecera, payload y firma — para que las tres secciones de cabecera.payload.firma sean fácilmente distinguibles de un vistazo. No requiere cuenta, no sube nada a servidores y no tiene límite diario de decodificaciones.

Lee los claims y comprueba la expiración de un vistazo

El decodificador resalta los claims registrados estándar definidos en RFC 7519 — iss, sub, aud, exp, nbf, iat y jti — en una tabla clara con el significado en lenguaje natural para cada uno. Los tres claims de tiempo son segundos de época Unix, que son fáciles de malinterpretar, por lo que la herramienta los convierte a tu fecha y hora local y añade una indicación relativa como 'emitido hace 5 minutos' o 'expira en 59 minutos'.

Lo más importante es que responde la pregunta que sueles abrir un depurador JWT para hacerte: ¿sigue siendo válido este token? El claim exp se comprueba contra la hora actual y el token se marca como Válido o Expirado, respetando también nbf, para que puedas ver de inmediato si un token expirado es la razón por la que se está rechazando una solicitud.

Verifica la firma — HS256, RS256 y ES256

Decodificar muestra lo que dice un token; verificar prueba que puedes confiar en él. Esta herramienta es también un verificador de firmas JWT: lee el algoritmo de la cabecera y verifica la firma localmente con la Web Crypto API del navegador. Para HS256, HS384 y HS512 necesitas el secreto HMAC compartido; para RS256, PS256 y ES256 (y sus variantes 384/512) pegas la clave pública del emisor en formato PEM.

Como los cálculos se ejecutan en tu dispositivo, puedes confirmar que un token es auténtico — que nadie alteró el payload — sin enviar el token, el secreto o la clave a ningún servidor. Una marca verde significa que la firma coincide; una cruz roja significa que el token fue modificado o estás usando la clave incorrecta.

Construye y codifica un JWT también

¿Necesitas ir en la otra dirección? El codificador JWT integrado te permite crear un token desde cero. Edita la cabecera y el payload como JSON, elige un algoritmo HMAC, introduce un secreto y produce un token cabecera.payload.firma correctamente firmado listo para copiar en una solicitud o una prueba. Accesos directos añaden claims iat y exp frescos para que tus tokens de prueba tengan marcas de tiempo realistas.

Eso convierte a UtiloKit en un decodificador y codificador jwt combinado — inspecciona tokens que vuelven de tu API y crea nuevos para enviar, todo en el mismo lugar. Este es el mismo flujo de trabajo que los desarrolladores usan con jwt.io, pero sin intervención del servidor y sin necesidad de cuenta.

Cómo se compara con jwt.io, token.dev y jwtdecode.com

jwt.io es la herramienta JWT más reconocida en la web — construida por Auth0, ampliamente enlazada en la documentación y de confianza para millones de desarrolladores. Su principal limitación es la privacidad: jwt.io envía tu token a los servidores de Auth0 en algunas configuraciones, y se integra con los productos comerciales de Auth0.

token.dev y jwtdecode.com cubren la decodificación básica pero no admiten la verificación de firmas RS256/ES256 con clave PEM, que es el algoritmo usado por Auth0, Google, Microsoft Azure AD, Okta y la mayoría de los proveedores OIDC empresariales.

Este decodificador de UtiloKit maneja todo eso en el navegador: decodificación, comprobación de expiración y verificación completa de firmas en las familias de algoritmos HS/RS/PS/ES — gratuito, sin cuenta, sin límite diario y sin que nada salga de tu dispositivo.

Seguridad JWT: qué puede y qué no puede proteger el token

Un JWT está firmado para integridad, no cifrado para confidencialidad. Cualquiera que tenga el token puede leer cada claim en el payload — la codificación Base64URL es trivialmente reversible, como demuestra este decodificador. Por eso el payload debe contener solo identificadores no sensibles: un ID de usuario, rol o correo electrónico. Nunca pongas contraseñas, datos de pago o claves API en un payload JWT.

La firma protege contra la manipulación: si un atacante modifica incluso un solo carácter del payload, la firma ya no coincidirá y cualquier servidor que verifique con la clave correcta rechazará el token. El clásico ataque alg: none elude esto afirmando que no se usa ningún algoritmo — una vulnerabilidad conocida (CVE-2015-9235) que cualquier biblioteca JWT de producción debería bloquear.

Mantén cortos los tiempos de vida de los tokens usando exp, transmite sobre HTTPS, almacena en memoria o cookies httpOnly (no localStorage), y verifica firmas en cada solicitud. Decodifica e inspecciona tus tokens con esta herramienta gratuita para confirmar que estas propiedades están correctamente configuradas antes de desplegar a producción.