Decodificador de JWT

Un JSON Web Token parece una cadena de caracteres ilegible, pero en realidad son solo tres partes codificadas en Base64URL unidas por puntos: un header, un payload y una firma. Decodificar el header y el payload no tiene nada de cifrado — cualquiera que tenga el token puede leer los claims que contiene, y precisamente por eso nunca se deben meter datos sensibles en el payload de un JWT. El problema es que los tokens que la gente necesita inspeccionar rara vez son datos de prueba desechables. Suelen ser el token de una sesión activa en una app en producción, un token de acceso a una API o una cookie de inicio de sesión sacada directamente de las herramientas de desarrollo del navegador mientras se depura algo — una credencial real que, en las manos equivocadas, da acceso real. Pegar eso en una web cualquiera equivale a entregar tu sesión a un servidor del que no sabes nada.

Esta herramienta nunca hace eso. El header y el payload se decodifican con JavaScript puro que se ejecuta en tu navegador en el instante en que pegas un token — se separan por los puntos, se decodifican de Base64URL y se interpretan como JSON — y nada de eso se transmite a ningún sitio. La verificación de la firma funciona igual, usando la Web Crypto API (`SubtleCrypto`) integrada en todos los navegadores modernos: los algoritmos HMAC (HS256, HS384, HS512) se verifican contra un secreto que escribes tú, y los algoritmos RSA (RS256, RS384, RS512) contra una clave pública que pegas en formato PEM. Tanto el secreto criptográfico como la propia verificación permanecen en la pestaña; al recargar la página, todo — token, secreto, clave — desaparece.

Pega un token para ver su header y payload con formato legible, junto con una lectura de los claims estándar `exp`, `iat` y `nbf` convertidos a una fecha comprensible, con una insignia clara de "Caducado" si el `exp` del token ya pasó — muy útil para confirmar si un reporte de "me cerró la sesión sola" es en realidad solo un token caducado. Si el algoritmo es HS256/384/512 o RS256/384/512, introduce el secreto o la clave pública correspondiente para comprobar si la firma es auténtica o ha sido manipulada. Los algoritmos fuera de ese conjunto (como ES256 o el `none` sin firmar) se decodifican igualmente sin problema, pero no se ofrece verificación en lugar de simular un resultado. Para desarrollo local, las cajas editables de header y payload te permiten modificar un claim — por ejemplo, cambiar un ID de usuario o un rol — y volver a firmar el token con el mismo secreto HS256 que usa tu servidor de pruebas, una forma habitual de probar la lógica de autorización sin montar todo un flujo de login.

Como el payload de un JWT es JSON legible en cuanto se decodifica, combina de forma natural con la herramienta JSON Formatter & Validator si necesitas examinar más de cerca un claim profundamente anidado. Un recordatorio de seguridad que vale la pena repetir: dado que decodificar no requiere ningún secreto, trata cualquier token como sensible en el momento en que termines de inspeccionarlo, y rota las credenciales que solo debían durar poco tiempo si no estás seguro de dónde más se han pegado antes de llegar aquí.