Inspector y Decodificador de Tokens JWT
Decodificado localmente en la memoria del navegador. Jamás enviado a ningún servidor remoto.
Inspector y Decodificador de Tokens JWT
Decodificado localmente en la memoria del navegador. Jamás enviado a ningún servidor remoto.
Aviso de Seguridad Crítico: Decodificar un JWT solo convierte Base64URL a JSON legible. LA DECODIFICACIÓN NO ES VERIFICACIÓN DE FIRMA. Cualquiera puede alterar afirmaciones o forjar tokens no firmados.
Cómo Inspeccionar y Decodificar Tokens JWT de Forma Segura
1. Pegue su Token JWT Codificado
Pegue la cadena separada por puntos (Encabezado.CargaÚtil.Firma) en el campo de texto o pruebe un token de muestra.
2. Revise el Encabezado y el Algoritmo
Compruebe el tipo ("typ": "JWT") y el algoritmo ("alg": "HS256", "RS256"). Esté atento a algoritmos inseguros como "none".
3. Inspeccione los Claims y la Carga Útil
Analice la fecha de expiración (exp), emisión (iat), audiencia (aud), emisor (iss), sujeto (sub) y datos de usuario.
4. Verifique el Estado de Expiración en Tiempo Real
Compruebe el indicador en vivo que calcula si el token está activo, vencido o no válido aún (nbf).
Estructura de Tokens y Mecanismo Base64URL
Un JSON Web Token (RFC 7519) consta de tres partes separadas por puntos: Base64URL(Encabezado) . Base64URL(Payload) . Firma. La decodificación convierte estas cadenas a JSON mediante TextDecoder UTF-8. En tokens JWS estándar, los datos están codificados, no cifrados, por lo que son visibles para cualquiera.
| Especificación / Parámetro | Estándar y Valor Requerido |
|---|---|
| Estándar RFC | RFC 7519 (JWT) y RFC 7515 (JWS) |
| Formato de Codificación | Base64URL (sin relleno, apto para URLs) |
| Estándar de Tiempo | Unix Epoch (segundos transcurridos desde 1970) |
| Entorno de Ejecución | Memoria local del navegador (0 peticiones red) |
Límite de Seguridad Crítico: Decodificación vs Verificación
Decodificar un JWT solo convierte el texto Base64URL en JSON legible. NO comprueba la firma criptográfica. Cualquiera puede alterar los datos y crear un token falso. Solo su servidor con la clave secreta puede validar la firma.
Preguntas Frecuentes: Decodificación de Tokens JWT
¿Esta herramienta comprueba si la firma del token es auténtica?
No. Decodificar solo muestra el contenido en JSON. Verificar la firma requiere la clave secreta o pública en un servidor seguro.
¿Mis tokens se envían a algún servidor externo?
Nunca. Todo el análisis se realiza localmente en la memoria de su navegador. No se envía ningún dato por la red.
¿Qué riesgo presenta el algoritmo "none"?
Indica un token sin firma. Si el backend lo acepta por error, un atacante puede crear tokens con permisos de administrador sin clave.
¿Cuál es la diferencia entre JWS y JWE?
JWS es un token firmado cuyo contenido es visible; JWE cifra la información para que solo quien posea la clave pueda leerla.