Cómo usar la herramienta «Decodificador JWT»
- Pega el tokenPega el JWT completo, incluidos los puntos entre sus segmentos, en el campo Token.
- DecodifícaloPulsa el botón para ejecutar la herramienta y decodificar en Base64URL los dos primeros segmentos.
- Lee la cabecera y el payloadRevisa la cabecera y el payload formateados, como alg, kid, exp o claims propios. El segmento de la firma no se comprueba.
Usos habituales
- Comprobar qué claims y scopes lleva un token de acceso
- Leer exp e iat cuando una API rechaza un token por caducado
- Confirmar el alg y el kid de la cabecera mientras depuras la autenticación
Preguntas frecuentes
¿Cómo se usa la herramienta «Decodificador JWT»?
1. Pega el token: Pega el JWT completo, incluidos los puntos entre sus segmentos, en el campo Token. 2. Decodifícalo: Pulsa el botón para ejecutar la herramienta y decodificar en Base64URL los dos primeros segmentos. 3. Lee la cabecera y el payload: Revisa la cabecera y el payload formateados, como alg, kid, exp o claims propios. El segmento de la firma no se comprueba.
¿Verifica la firma?
No. La herramienta solo decodifica la cabecera y el payload, y el resultado lo indica. La firma nunca se comprueba, así que un token decodificado no demuestra que sea auténtico ni que no se haya manipulado.
¿Se convierten exp e iat en fechas?
Sí. Si el payload tiene claims exp, iat o nbf, aparecen debajo como fechas UTC, y un exp ya pasado se resalta. El payload en sí muestra los claims tal como están en el token.
¿Funciona con tokens cifrados?
Solo los tokens firmados (JWS) tienen un payload legible. Con un token JWE cifrado puedes leer la cabecera, pero el segundo segmento es una clave cifrada, no claims en JSON.
¿Es seguro pegar un token activo?
El token se envía al servidor de GigaTools, se decodifica allí y vuelve; la herramienta no lo guarda. Aun así, un token válido puede dar acceso, así que usa tokens caducados o de prueba en vez de los de producción.