JWT Decoder - JSON Web Tokens

Un JSON Web Token es una credencial. Esta app lo decodifica, explica lo que dice y comprueba su firma, todo en tu dispositivo y sin acceso propio a la red.

DECODIFICA CUALQUIER COSA CON FORMA DE TOKEN

Pega un token o envíalo desde otra app: selecciónalo en un log, un comando curl, una cabecera Authorization o una respuesta JSON y usa Compartir o «Decodificar JWT» en el menú de texto. El token se extrae del texto que lo rodea. Reconoce tokens firmados (JWS) y cifrados (JWE), y de un token dañado te muestra todo lo que se puede leer.

LEE LOS CLAIMS, NO EL BASE64

Cada claim registrado se nombra y explica. Los claims de tiempo se muestran como fecha y distancia —«caducó hace 4 horas», «en 12 minutos»— en hora local, UTC o segundos. Reconoce unos noventa nombres de claims, incluidos OpenID Connect y los de Microsoft Entra, Firebase, AWS Cognito, Auth0 y Keycloak.

COMPRUEBA LA FIRMA

• HS256, HS384, HS512 con un secreto compartido, como texto, base64, base64url o hex, a tu elección

• RS256/384/512, PS256/384/512, ES256/384/512 y ES256K con una clave pública

• Claves en PEM, certificado X.509, JWK o un jwks.json completo; el key id del token elige la entrada correcta

El veredicto nunca es solo sí o no: «no coincide», «tipo de clave incorrecto», «curva incorrecta» y «no se puede comprobar aquí» son respuestas distintas.

QUÉ LE PASA

Treinta y cinco hallazgos explicados en una frase: «alg» en none, una clave incrustada en la cabecera, «nbf» posterior a «exp», «exp» en milisegundos, claims duplicados, falta de audiencia… y el más importante: el payload está firmado, no cifrado. Cualquiera con el token puede leer todos sus claims.

HECHO PARA ALGO EN LO QUE NO CONFÍAS

Ningún token, clave o secreto se transmite, y las claves y secretos nunca se guardan. El historial muestra tokens enmascarados, tiene límite, se puede borrar y está excluido de la copia en la nube.

ADEMÁS

• Tema claro y oscuro según el sistema

• Diez idiomas

• Colores de sintaxis y números exactos tal como se escribieron

• Margen de desfase de reloj configurable

• Abre tokens anidados