Información útil

Un JWT consiste en una cabecera, carga útil y firma. Esta herramienta muestra su JSON, algoritmo, tiempos de caducidad y emisión, y reclamaciones de permisos en forma legible.

La entrada nunca sale de tu dispositivo. El proceso utiliza únicamente tu equipo local.

La decodificación del JWT y la verificación HS256 se realizan íntegramente en tu navegador. No se envía nada a los servidores de MISCLAND.

P. ¿La verificación de la firma es compatible con cada algoritmo?

Solo admite verificación de firmas HS256 (HMAC-SHA256). No admite verificación con clave pública RS256/ES256 ni consulta de claves JWKS/OIDC.

P. ¿Por qué el tiempo de caducidad se ve mal?

Los campos exp, iat y nbf de un JWT suelen expresar tiempo Unix en segundos. Si un token utiliza milisegundos por error, las fechas pueden mostrarse de forma anómala.

P. ¿Es seguro pegar un token aquí?

Aunque el proceso es local, ten cuidado al compartir la pantalla o copiar tokens de producción al portapapeles.

P. ¿Puedo editar la carga útil y crear un token?

Esta herramienta sirve para decodificar y verificar tokens. Por seguridad, conviene tratar su generación en una herramienta independiente y con especial cuidado.

Solución de problemas de acceso: Comprueba exp y nbf para detectar rápidamente tokens caducados o que todavía no son válidos.

Comprobar permisos: Inspeccione las reclamaciones de rol, alcance y permisos cuando solucione problemas de autorización.

Formato JSON: Copia la carga útil en el formateador JSON/XML para examinarla con más detalle.

Verificar: Para un token HS256, introduce el secreto y comprueba si la firma es válida.

Decodificar un JWT solo lee Header y Payload desde Base64URL sin usar una clave. La verificación HS256 vuelve a calcular HMAC-SHA256 de header.payload con el Secret y lo compara con la firma del token. Que un token se pueda decodificar no significa que sea confiable ni que esté verificado.

No. La verificación de firma actual solo admite HS256. No se admiten algoritmos de clave pública RS256/ES256, consulta de claves JWKS/OIDC ni validación de políticas iss/aud. exp, iat, nbf y los claims principales se muestran para inspección; para autenticación real use una biblioteca JWT del servidor con validación completa.

Decodificador JWT Online - Decodificar y Verificar HS256

Estado del token

Verificar la firma HS256

Header

Payload

Resumen de claims

Información útil

¿Qué puedo inspeccionar en un JWT?

¿Dónde se procesa el token?

Preguntas frecuentes (FAQ)

Consejos

¿Cuál es la diferencia entre decodificar un JWT y verificar su firma HS256?

¿Este decodificador JWT verifica RS256, ES256 o también iss y aud?