Añade tu archivo
Elige o arrastra un archivo .txt o .jwt. También puedes pegar el contenido.
Decodificador JWT: lee la cabecera, el payload y la caducidad de un token
Pega el token completo o elige un archivo .txt o .jwt y la herramienta separa sus tres segmentos. La cabecera y el payload se decodifican desde Base64url, se leen como UTF-8 estricto y se analizan como JSON estricto; se muestran tal cual para copiarlos o descargarlos como .header.json y .payload.json. Los campos alg, typ, cty, kid, jku y x5u de la cabecera aparecen por separado, y las claims registradas iss, sub, aud, exp, nbf, iat y jti se explican como claims estándar. exp, nbf e iat se muestran como número original y como fecha UTC, y se indica si el token ha caducado o aún no es válido según el reloj de tu dispositivo. Una tabla recoge todas las claims con su valor exacto. La firma solo se comprueba como Base64url y se mide en bytes; nunca se convierte en texto.
Tipos de archivo: .txt, .jwtProcesamiento: Este navegador
o arrastra un archivo aquí
✓ No sale de este dispositivoTamaño máximo: 977 KB
Cómo usar Decodificador JWT: lee la cabecera, el payload y la caducidad de un token
Deja que lo lea
El archivo se lee y se analiza en este navegador; no se sube nada.
Revisa el resultado
Comprueba lo que ha salido y luego cópialo, descárgalo o sigue con lo tuyo.
¿Quieres saber qué pasa con tus archivos? Lee el aviso de privacidad →
Preguntas frecuentes
¿Cómo decodificar un JWT online y ver el payload?
Pega el token entero en el cuadro o selecciona un archivo .txt o .jwt y verás al instante el JSON de la cabecera y del payload. Los espacios y saltos de línea de los extremos se ignoran, y arriba del resultado siempre aparece el aviso de que la firma no se ha verificado.
¿Se puede decodificar un JWT sin subir el token a ningún servidor?
Sí: el token se decodifica dentro de la pestaña de tu navegador y esta herramienta no lo envía a ningún servidor. Si la cabecera incluye una URL en jku o x5u, solo se muestra con una advertencia; la herramienta no se conecta a esa dirección.
¿Cómo abrir un JWT en Windows o Mac sin instalar programas?
Basta con abrir esta página en cualquier navegador actual de Windows, Mac, Linux o móvil y pegar el token; no hace falta terminal ni extensiones. Copia el valor desde las herramientas de desarrollo, tu cliente de API o un log, y pega solo la parte que empieza por eyJ.
¿Por qué el JWT da error de número de segmentos incorrecto?
Un JWT firmado debe tener exactamente tres partes separadas por dos puntos; si falta o sobra un punto aparece este error. Suele ocurrir al cortar la firma al copiar o al juntar dos tokens. Con cinco partes el mensaje es otro, porque esa forma corresponde a un JWE cifrado.
¿Qué significa el error de JWT cuyo payload no es JSON?
Significa que el payload se decodificó desde Base64url pero no es JSON estricto, así que se informa como error en lugar de mostrarlo como texto. Comillas simples, comas finales o escapes inválidos lo provocan. Si es JSON válido pero un array o un texto, verás el aviso de que no es un objeto.
¿Por qué falla el JWT al pegarlo con el prefijo Bearer?
Porque la palabra Bearer y el espacio no son caracteres Base64url, y el primer segmento deja de ser decodificable. El error indica la línea y la columna del carácter problemático; elimina el prefijo, las comillas o el salto de línea y pega solo el token.
¿Qué tamaño máximo y qué codificación acepta el decodificador JWT?
Acepta hasta 1.000.000 bytes, el archivo debe estar en UTF-8 y el JSON admite hasta 64 niveles de anidación. Un archivo guardado en UTF-16 se rechaza por no ser UTF-8. La marca BOM al inicio del archivo se elimina, pero no una BOM oculta dentro de un segmento decodificado.
¿Se puede decodificar un token JWE cifrado con el decodificador JWT?
No: el decodificador JWT solo lee tokens firmados de tres partes (JWS) y los JWE cifrados de cinco partes se rechazan con un mensaje propio. El payload de un JWS solo está codificado y cualquiera lo lee; el de un JWE está cifrado y requiere la clave de descifrado correspondiente.
¿Decodificar un JWT sirve para verificar la firma o saber si es auténtico?
No. La herramienta nunca verifica la firma ni acepta claves, por lo que un token bien decodificado no demuestra nada sobre su origen. Cualquiera puede fabricar un JWT que se decodifique perfectamente; esa comprobación corresponde al servidor que tiene la clave.
¿Es peligroso un JWT con alg none?
Sí, puede serlo: alg none declara que el token no está firmado, y un servidor que lo acepte permite suplantar identidades. La herramienta lo marca como advertencia crítica, sin importar mayúsculas o minúsculas, para que lo rechaces en tu lógica de validación.
¿Cómo se convierte la fecha de caducidad exp de un JWT y es fiable el aviso de caducado?
exp, iat y nbf se interpretan como segundos desde 1970 y se muestran como fecha UTC junto al número original; la caducidad se compara con el reloj de tu dispositivo. Si el reloj está mal, el resultado también. Sin exp, se avisa de su ausencia en vez de darlo por válido.
¿Es seguro un JWT cuya cabecera tiene jku o x5u?
Conviene desconfiar: la herramienta marca jku y x5u como referencias a claves remotas y nunca descarga nada de ellas. Si un servidor obtiene la clave de la URL que indica el propio token, un atacante puede apuntarla a su propia clave.