Decodificador JWT

¿Qué es un decodificador de JWT?

Un decodificador de JWT divide un JSON Web Token en sus tres partes —header, payload y firma— y aplica Base64URL a las dos primeras para que las puedas leer como JSON. Es una herramienta a la que recurres constantemente cuando depuras flujos de login, autorización, claims de sesión o problemas con la expiración del token.

Decodificar un JWT *no* significa confiar en él. El header y el payload son legibles a propósito: solo están codificados en Base64URL, no cifrados. La verificación es lo que comprueba que el token fue firmado por quien tú esperas y que nadie lo ha manipulado.

Un JWT tiene la forma header.payload.signature. Cada parte va codificada en Base64URL y se separan con puntos. El header indica qué algoritmo de firma se usa, el payload contiene los claims (quién es el usuario, cuándo expira el token, qué puede hacer) y la firma le permite al servidor demostrar que el token no fue modificado.

Qué vas a aprender decodificando JWTs

• Un JWT tiene tres partes codificadas en Base64URL separadas por puntos: header.payload.signature.
• Los claims típicos como sub, role, iat, nbf y exp indican identidad, permisos, hora de emisión y hora de expiración.
• Un payload decodificado puede modificarlo cualquiera; lo único que permite al servidor detectar manipulaciones es la firma.

Cómo decodificar un JWT paso a paso

1. 1

   Pega el token completo

   Pega el JWT en el cuadro de entrada. Debería verse como xxxx.yyyy.zzzz: tres partes codificadas en Base64URL unidas por puntos.

2. 2

   Lee el header

   El header te dice el algoritmo de firma (alg) y el tipo de token. Cuidado con "alg": "none": significa que el token no está firmado y no se puede confiar en él.

3. 3

   Lee los claims del payload

   El payload es el JSON con todos los claims. Fíjate en sub (id de usuario), exp (expiración), iat (emitido en) y cualquier claim personalizado que añada tu app, como role o tenant.

4. 4

   Comprueba la expiración

   Convierte el timestamp Unix de exp a una fecha: si ya pasó, el token está caducado y cualquier API que se comporte bien lo va a rechazar.

5. 5

   Verifica la firma (opcional)

   Si tienes el secreto o la clave pública, pégalo en el verificador para confirmar que la firma es válida. Solo puedes confiar en el contenido del token cuando la firma cuadra.

Claims estándar de JWT

Estos son los claims registrados que define la especificación de JWT (RFC 7519). Cualquier aplicación puede añadir además sus propios claims personalizados.

Ejemplos de JWT para probar

{  "alg": "HS256",  "typ": "JWT"}

{  "sub": "user_123",  "role": "student",  "exp": 1710000000}

{  "exp": 1710000000}

{  "alg": "none",  "typ": "JWT"}

Errores comunes con JWT

• Meter contraseñas, secretos o datos personales sensibles en el payload. Los JWT son legibles, no están cifrados.
• Decodificar un token y dar por hecho que es válido sin verificar la firma.
• Confundir el hecho de que Base64URL sea legible con que esté cifrado: los payloads de JWT son fáciles de leer a propósito.

Preguntas frecuentes sobre JWT