Decodificador JWT

¿Qué es un JWT?

// Decode a JWT in the browser — header & payload only
function decodeJwt(token) {
  const [h, p, s] = token.split('.');
  const pad = (seg) => seg + '==='.slice((seg.length + 3) % 4);
  const decode = (seg) => JSON.parse(
    atob(pad(seg).replace(/-/g, '+').replace(/_/g, '/'))
  );
  return { header: decode(h), payload: decode(p), signature: s };
}

const { header, payload } = decodeJwt(token);
console.log(header);   // → { alg: 'HS256', typ: 'JWT' }
console.log(payload);  // → { sub: 'user_123', exp: 1999999999, ... }

// Expiration check
const expired = payload.exp * 1000 < Date.now();

Características Clave

Ejemplos

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzEyMyIsIm5hbWUiOiJBbGljZSIsInJvbGUiOiJhZG1pbiIsImlhdCI6MTcxNTAwMDAwMCwiZXhwIjoxOTk5OTk5OTk5fQ.4NhxPjwoZxPNuxG-2C5ugGxaUsUJ0QyskAz7Ymz5Sg0

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub": "user_123",
  "name": "Alice",
  "role": "admin",
  "iat": 1715000000,
  "exp": 1999999999
}

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6ImtleS0yMDI1LTAxIn0.eyJpc3MiOiJodHRwczovL2F1dGguZXhhbXBsZS5jb20iLCJhdWQiOiJhcGkuZXhhbXBsZS5jb20iLCJzdWIiOiI5MDA4NzE2NSIsImlhdCI6MTYwMDAwMDAwMCwiZXhwIjoxNjAwMDAzNjAwLCJzY29wZSI6InJlYWQ6dXNlciB3cml0ZTpwb3N0In0.signature_placeholder

{
  "alg": "RS256",
  "typ": "JWT",
  "kid": "key-2025-01"
}

{
  "iss": "https://auth.example.com",
  "aud": "api.example.com",
  "sub": "90087165",
  "iat": 1600000000,
  "exp": 1600003600,
  "scope": "read:user write:post"
}

eyJhbGciOiJFUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwczovL2FjY291bnRzLmdvb2dsZS5jb20iLCJzdWIiOiIxMTA1MDIyNTExNTU4OTkwNzY2Mzk1IiwiYXpwIjoiY2xpZW50LWlkIiwiYXVkIjoiY2xpZW50LWlkIiwiZW1haWwiOiJhbGljZUBleGFtcGxlLmNvbSIsImVtYWlsX3ZlcmlmaWVkIjp0cnVlLCJpYXQiOjE3MTUwMDAwMDAsImV4cCI6MTk5OTk5OTk5OSwibm9uY2UiOiJhYmMxMjMifQ.signature

{
  "alg": "ES256",
  "typ": "JWT"
}

{
  "iss": "https://accounts.google.com",
  "sub": "110502251155899076639",
  "azp": "client-id",
  "aud": "client-id",
  "email": "alice@example.com",
  "email_verified": true,
  "iat": 1715000000,
  "exp": 1999999999,
  "nonce": "abc123"
}

eyJhbGciOiJub25lIiwidHlwIjoiSldUIn0.eyJzdWIiOiJkZWJ1Zy11c2VyIiwiaWF0IjoxNzE1MDAwMDAwfQ.

{
  "alg": "none",
  "typ": "JWT"
}

{
  "sub": "debug-user",
  "iat": 1715000000
}

Cómo Usar

1. 1

   Pega tu JWT para Decodificar

   Pega el token completo a decodificar — incluyendo los tres segmentos separados por puntos — en el cuadro de entrada. El decodificador se ejecuta al instante en tu navegador; no necesitas hacer clic en un botón.

2. 2

   Lee el Encabezado, Carga Útil y Estado Decodificados

   Lee el algoritmo y el tipo de token en el encabezado decodificado, las reclamaciones en la carga útil decodificada y los chips de expiración / emisión en la parte superior. Un token expirado se marca en rojo.

3. 3

   Copia la Salida Decodificada

   Usa el botón Copiar en cada panel para copiar el JSON del encabezado decodificado, el JSON de la carga útil decodificada o la firma bruta. Tu token nunca se envió a ningún sitio — la decodificación ocurrió localmente en tu navegador.

Common Errors

jwt.verify(token, secret)  // library default may allow 'none'

jwt.verify(token, secret, { algorithms: ['RS256'] })

{ "sub": "user_123", "role": "admin" }  // no exp

{ "sub": "user_123", "role": "admin", "exp": 1715003600 }

{ "sub": "user_123", "password": "hunter2" }

{ "sub": "user_123", "role": "admin" }  // payload stays minimal

Casos de Uso Comunes

Decodifica Tokens Authorization Bearer

Decodifica tokens JWT de encabezados Authorization: Bearer para verificar las reclamaciones, audiencia y expiración que está recibiendo tu backend.

Decodifica Tokens OAuth 2.0 y OIDC

Decodifica tokens de acceso y tokens ID devueltos por servidores de autorización (Auth0, Okta, Google, Keycloak) durante la integración OAuth 2.0 y OpenID Connect.

Diagnóstico de Sesión Expirada

Confirma en un segundo si un token rechazado está expirado, usa la audiencia equivocada o tiene un problema de desfase de reloj.

Comprobaciones de Rotación de Claves

Lee el kid (ID de clave) en el encabezado para verificar que tu rotación JWKS esté entregando tokens firmados con la clave esperada.

Revisiones de Seguridad

Detecta tokens firmados con alg:none, sin exp o que filtran PII en la carga útil durante revisiones de código y pentesting.

Inspección de Tokens de Microservicios

Decodifica tokens servicio a servicio dentro de una malla para ver qué scopes y sujeto está autorizando una llamada descendente.

Detalles Técnicos

Cumple con RFC 7519

Maneja tokens JWS conformes a RFC 7519 (JWT), RFC 7515 (JWS) y RFC 7518 (JWA) — todos los algoritmos registrados son compatibles para la decodificación.

Decodificación Base64URL

Usa el alfabeto Base64 seguro para URL (- y _ en lugar de + y /) definido en RFC 4648, con un análisis tolerante al relleno.

Nativo del Navegador, Sin Dependencias

Construido sobre atob, TextDecoder y JSON.parse del navegador — sin bibliotecas externas, sin llamadas de red, sin telemetría.

Mejores Prácticas

Nunca Confíes sin Verificar

Un decodificador muestra reclamaciones; no las demuestra. Verifica siempre la firma en el servidor contra la clave del emisor antes de confiar en cualquier reclamación.

Rechaza alg:none en Producción

Configura tu biblioteca JWT con una lista explícita de algoritmos permitidos. Nunca aceptes alg:none y desconfía de desajustes de alg en la rotación de claves.

Mantén las Cargas Útiles Ligeras

Pon identificadores y reclamaciones de corta duración en el JWT; mantén los datos voluminosos detrás de un ID de sesión opaco. Los tokens grandes cuestan ancho de banda en cada solicitud.

Preguntas Frecuentes