Cómo usar Decodificador JWT: guía completa (2026)

¿Qué es Decodificador JWT?

Un decodificador JWT parte un JSON Web Token en sus tres partes Base64URL para que puedas leer el encabezado, las claims del payload y la firma. El Decodificador JWT gratis de ToolsMinify muestra el JSON con formato en tu navegador y nunca verifica la firma en Decode. La pestana Encode de la misma pagina firma tokens de prueba HS256 compactos con Web Crypto: el secreto no sale del dispositivo. Nada de lo que pegas se sube.

Decodifica el encabezado, el payload y la firma de un JWT en tu navegador. Codifica tokens de prueba HS256 en la misma pagina. Decodificador de JSON Web Token gratis: nada se sube.

¿Por qué usar Decodificador JWT?

• Inspecciona encabezado, payload y firma en una sola vista
• JSON con formato y un boton de copiar por seccion
• Quita un prefijo Bearer opcional de forma automatica
• Errores claros si fallan la estructura, Base64URL o el JSON
• Pestana Encode para firmar tokens HS256 en el navegador, sin URL nueva
• Chips NumericDate para iat/exp y aviso de secreto de 32 bytes
• Decode no verifica y corre en el cliente: el token se queda en tu dispositivo

Cómo usar Decodificador JWT paso a paso

1. Paso 1: Decode es la pestana por defecto. Pega un JWT. Un prefijo Bearer es opcional y se quita automaticamente.
2. Paso 2: El encabezado y el payload aparecen como JSON con formato. Las claims de tiempo (iat, exp, nbf) muestran segundos Unix mas reloj UTC y local. La firma es el tercer segmento en crudo.
3. Paso 3: Cambia a Encode para firmar un token de prueba. El JSON del encabezado viene con alg HS256. Edita el payload, opcionalmente pulsa un chip NumericDate para iat o exp, introduce un secreto y firma.
4. Paso 4: Copia el token o envialo a Decode para inspeccionar el JSON compacto que se firmo. Si el input esta mal formado, un error breve indica si falla la estructura, la codificacion o el JSON.

La Decodificador JWT está en Herramientas para desarrolladores. Abre la página de la herramienta, introduce tu texto o datos en el campo principal y los resultados se actualizan al instante. Usa el botón de copiar para pegar la salida en documentos, editores de código u hojas de cálculo.

Casos de uso comunes

Depurar tokens bearer de una API

Pega un token de una cabecera Authorization para ver alg, typ, sub, exp y otras claims sin enviarlo a un debugger de terceros.

Revisar claims de caducidad y emisión

Lee iat y exp en el payload cuando una petición se rechaza como no autorizada y confirma que la verificación real sigue en tu servidor.

Aprender la estructura de un JWT

Mira cómo header.payload.signature se mapea a objetos JSON y una firma Base64URL, incluidos tokens sin proteger con el tercer segmento vacío.

Crear tokens de prueba HS256

Usa Encode para firmar JWTs HS256 compactos para Postman o APIs locales. Los chips NumericDate ponen iat y exp sin buscar Unix a mano, e Inspeccionar en Decode confirma el JSON compacto firmado.

Ejemplos

• JWT estandar de tres partes: header.payload.signature se decodifica a un encabezado JSON (alg, typ), un payload JSON (claims como sub, iat, exp) y una firma Base64URL.
• Cabecera Authorization: Pega Bearer eyJ...: la herramienta quita el prefijo Bearer y decodifica el token.
• JWT sin proteger (alg none): Un token con el tercer segmento vacio tambien se decodifica. El campo de firma queda en blanco: Decode sigue sin verificar nada.
• Token de prueba HS256: En Encode, deja el encabezado HS256, define claims, introduce un secreto solo de desarrollo y firma. El resultado es un JWT de tres partes para Postman o para Decode.

Consejos profesionales

• La pestana Decode nunca verifica firmas. Cualquiera puede falsificar las claims del encabezado y del payload.
• No pegues secretos de produccion ni tokens de sesion en vivo en un decodificador online que no controles: este se queda en el navegador, pero el habito sigue importando.
• Un JWT valido tiene exactamente tres partes. Si a un token sin proteger le falta el punto final, fallara.
• exp e iat son timestamps Unix en segundos; esta pagina muestra reloj UTC y local, y el Conversor de Unix Timestamp esta a un clic.
• Encode fija alg en HS256 y serializa JSON compacto. Los espacios de jwt.io cambian la firma: este encoder coincide con la salida compacta de jsonwebtoken.
• Los secretos HS256 deben tener al menos 32 bytes UTF-8. Combinalo con el Generador de hash para aprender HMAC, no como sustituto de la verificacion en el servidor.

Preguntas frecuentes

Que es un JWT?

Un JSON Web Token son tres partes codificadas en Base64URL y separadas por puntos: un encabezado, un payload de claims y una firma. Las APIs los usan como tokens bearer. Decode lee las partes. Encode construye un token firmado con HS256 para pruebas.

Este decodificador verifica la firma?

No. La pestana Decode nunca verifica. La verificacion necesita el secreto o la clave publica y debe ocurrir en un servidor de confianza. Decodificar solo muestra lo que el token afirma, y cualquiera puede falsificarlo.

Puedo codificar o firmar un JWT aqui?

Si, en la pestana Encode de esta misma pagina: no hay una URL jwt-encoder aparte. Firma JSON compacto con HMAC-SHA256 (HS256) en tu navegador. Usa un secreto de prueba, nunca una clave de produccion.

Por que solo HS256 y no RS256?

HS256 es HMAC con un secreto compartido y corre en la API Web Crypto sin subir una clave privada. RSA y ECDSA necesitan pares de claves y pertenecen a un servidor. Esta pagina fija alg en HS256 para que el encabezado no diga RS256 mientras los bytes son HMAC. Para el digest hex HMAC de un mensaje mas un secreto, usa el modo HMAC de Hash Generator.

Mi token o secreto se envia a un servidor?

No. Decode y Encode corren por completo en tu navegador. Nada de lo que pegas se sube, registra ni almacena.

Por que veo un error?

Un JWT valido tiene exactamente tres partes. El encabezado y el payload deben ser JSON en Base64URL. Puntos de mas, partes que faltan o una codificacion danada producen un error claro. Encode tambien rechaza JSON invalido y un secreto vacio.

Puedo confiar en claims como exp, sub o role desde esta herramienta?

No por si solas. Cualquiera puede crear un token con cualquier claim. Usa Decode para depurar tokens que ya tienes y verifica las firmas en tu backend.

Que es Base64URL?

Base64URL es Base64 con + y / sustituidos por - y _, y a menudo sin padding. El encabezado y el payload de un JWT usan esta codificacion para que el token sea seguro en URLs.

Como convierto exp/iat de un JWT en una fecha legible?

En el payload de un JWT, iat es la fecha de emision y exp es la fecha de caducidad (ambos son Unix timestamps). Esta pagina ya muestra reloj UTC y local para esas claims. Tambien puedes copiar los numeros en el Unix Timestamp Converter: https://www.toolsminify.com/converter-tools/timestamp-converter.

Herramientas relacionadas

Explora otras herramientas para desarrolladores en ToolsMinify. En la página de Decodificador JWT encontrarás utilidades relacionadas para completar tu flujo sin salir del sitio.