Decodificador JWT
Pega un JSON Web Token para ver su encabezado y carga útil decodificados, formateados como JSON legible.
Cabecera
—
Contenido (payload)
—
Preguntas frecuentes
¿Esta herramienta verifica la firma del token?
No. El encabezado y la carga útil de un JWT son simplemente JSON codificado en base64url, legible por cualquiera sin ningún secreto, esta herramienta solo decodifica esa parte. Verificar la firma requiere el secreto o clave pública del emisor y es un paso separado, deliberadamente omitido aquí.
¿Es seguro pegar aquí un token de producción real?
La decodificación ocurre completamente en tu navegador usando JavaScript, el token nunca se envía a un servidor. Dicho esto, como hábito general, evita pegar tokens activos (especialmente con datos sensibles) en cualquier herramienta web, decodifica un ejemplo o un token expirado cuando sea posible.
¿Por qué cualquiera puede leer el contenido de un JWT?
Los JWT están firmados, no cifrados, por diseño. La firma prueba que el token no ha sido manipulado, pero la carga útil en sí es claramente visible para cualquiera que tenga el token. Nunca pongas secretos o datos personales sensibles directamente en una carga útil JWT.