Un JSON Web Token son tres partes codificadas en Base64URL y separadas por puntos: un encabezado, un payload de claims y una firma. Las APIs los usan como tokens bearer. Decode lee las partes. Encode construye un token firmado con HS256 para pruebas.

Este decodificador verifica la firma?

No. La pestana Decode nunca verifica. La verificacion necesita el secreto o la clave publica y debe ocurrir en un servidor de confianza. Decodificar solo muestra lo que el token afirma, y cualquiera puede falsificarlo.

Puedo codificar o firmar un JWT aqui?

Si, en la pestana Encode de esta misma pagina: no hay una URL jwt-encoder aparte. Firma JSON compacto con HMAC-SHA256 (HS256) en tu navegador. Usa un secreto de prueba, nunca una clave de produccion.

Por que solo HS256 y no RS256?

HS256 es HMAC con un secreto compartido y corre en la API Web Crypto sin subir una clave privada. RSA y ECDSA necesitan pares de claves y pertenecen a un servidor. Esta pagina fija alg en HS256 para que el encabezado no diga RS256 mientras los bytes son HMAC. Para el digest hex HMAC de un mensaje mas un secreto, usa el modo HMAC de Hash Generator.

Mi token o secreto se envia a un servidor?

No. Decode y Encode corren por completo en tu navegador. Nada de lo que pegas se sube, registra ni almacena.

Por que veo un error?

Un JWT valido tiene exactamente tres partes. El encabezado y el payload deben ser JSON en Base64URL. Puntos de mas, partes que faltan o una codificacion danada producen un error claro. Encode tambien rechaza JSON invalido y un secreto vacio.

Puedo confiar en claims como exp, sub o role desde esta herramienta?

No por si solas. Cualquiera puede crear un token con cualquier claim. Usa Decode para depurar tokens que ya tienes y verifica las firmas en tu backend.

Base64URL es Base64 con + y / sustituidos por - y _, y a menudo sin padding. El encabezado y el payload de un JWT usan esta codificacion para que el token sea seguro en URLs.

Como convierto exp/iat de un JWT en una fecha legible?

En el payload de un JWT, iat es la fecha de emision y exp es la fecha de caducidad (ambos son Unix timestamps). Esta pagina ya muestra reloj UTC y local para esas claims. Tambien puedes copiar los numeros en el Unix Timestamp Converter: https://www.toolsminify.com/converter-tools/timestamp-converter.

Herramientas para desarrolladores

Decodificador JWT

Pega un JSON Web Token para inspeccionar su encabezado, payload y firma.

Modo

Solo HS256

JSON Web Token

Solo decodifica: esta vista no verifica la firma. No confíes en las claims hasta que un servidor verifique el token.

Acerca de Decodificador JWT

Pega un JSON Web Token para inspeccionar su encabezado, payload y firma. Este decodificador JWT gratis parte el token por puntos, decodifica en Base64URL las dos primeras partes y muestra el JSON con formato. Decode no verifica la firma: trata las claims como no confiables hasta que un servidor las compruebe. La pestana Encode firma un token HS256 compacto en tu navegador con Web Crypto; el secreto no sale de la pagina. RSA no esta disponible. Todo corre en el cliente.

Cómo usar Decodificador JWT

Decode es la pestana por defecto. Pega un JWT. Un prefijo Bearer es opcional y se quita automaticamente.
El encabezado y el payload aparecen como JSON con formato. Las claims de tiempo (iat, exp, nbf) muestran segundos Unix mas reloj UTC y local. La firma es el tercer segmento en crudo.
Cambia a Encode para firmar un token de prueba. El JSON del encabezado viene con alg HS256. Edita el payload, opcionalmente pulsa un chip NumericDate para iat o exp, introduce un secreto y firma.
Copia el token o envialo a Decode para inspeccionar el JSON compacto que se firmo. Si el input esta mal formado, un error breve indica si falla la estructura, la codificacion o el JSON.

Ejemplos de Decodificador JWT

JWT estandar de tres partes

header.payload.signature se decodifica a un encabezado JSON (alg, typ), un payload JSON (claims como sub, iat, exp) y una firma Base64URL.

Cabecera Authorization

Pega Bearer eyJ...: la herramienta quita el prefijo Bearer y decodifica el token.

JWT sin proteger (alg none)

Un token con el tercer segmento vacio tambien se decodifica. El campo de firma queda en blanco: Decode sigue sin verificar nada.

Token de prueba HS256

En Encode, deja el encabezado HS256, define claims, introduce un secreto solo de desarrollo y firma. El resultado es un JWT de tres partes para Postman o para Decode.

Qué hay dentro de un JWT

Leer la guía completa

Cómo usar Decodificador JWT: guía completa (2026) - 5 min de lectura

Preguntas frecuentes sobre Decodificador JWT

Que es un JWT?: Un JSON Web Token son tres partes codificadas en Base64URL y separadas por puntos: un encabezado, un payload de claims y una firma. Las APIs los usan como tokens bearer. Decode lee las partes. Encode construye un token firmado con HS256 para pruebas.
Este decodificador verifica la firma?: No. La pestana Decode nunca verifica. La verificacion necesita el secreto o la clave publica y debe ocurrir en un servidor de confianza. Decodificar solo muestra lo que el token afirma, y cualquiera puede falsificarlo.
Puedo codificar o firmar un JWT aqui?: Si, en la pestana Encode de esta misma pagina: no hay una URL jwt-encoder aparte. Firma JSON compacto con HMAC-SHA256 (HS256) en tu navegador. Usa un secreto de prueba, nunca una clave de produccion.
Por que solo HS256 y no RS256?: HS256 es HMAC con un secreto compartido y corre en la API Web Crypto sin subir una clave privada. RSA y ECDSA necesitan pares de claves y pertenecen a un servidor. Esta pagina fija alg en HS256 para que el encabezado no diga RS256 mientras los bytes son HMAC. Para el digest hex HMAC de un mensaje mas un secreto, usa el modo HMAC de Hash Generator.
Mi token o secreto se envia a un servidor?: No. Decode y Encode corren por completo en tu navegador. Nada de lo que pegas se sube, registra ni almacena.
Por que veo un error?: Un JWT valido tiene exactamente tres partes. El encabezado y el payload deben ser JSON en Base64URL. Puntos de mas, partes que faltan o una codificacion danada producen un error claro. Encode tambien rechaza JSON invalido y un secreto vacio.
Puedo confiar en claims como exp, sub o role desde esta herramienta?: No por si solas. Cualquiera puede crear un token con cualquier claim. Usa Decode para depurar tokens que ya tienes y verifica las firmas en tu backend.
Que es Base64URL?: Base64URL es Base64 con + y / sustituidos por - y _, y a menudo sin padding. El encabezado y el payload de un JWT usan esta codificacion para que el token sea seguro en URLs.
Como convierto exp/iat de un JWT en una fecha legible?: En el payload de un JWT, iat es la fecha de emision y exp es la fecha de caducidad (ambos son Unix timestamps). Esta pagina ya muestra reloj UTC y local para esas claims. Tambien puedes copiar los numeros en el Unix Timestamp Converter: https://www.toolsminify.com/converter-tools/timestamp-converter.

Generador de hash

Genera hashes SHA-256, SHA-1, SHA-384 y SHA-512 a partir de cualquier texto. HMAC vive en la misma pagina. Obtén el digest hexadecimal en minúsculas al instante en tu navegador: no se sube nada.

Conversor de Unix Timestamp

Convierte Unix timestamps (segundos o milisegundos) en ISO 8601, UTC y tu fecha/hora local. Convierte fechas locales de vuelta a Unix segundos y milisegundos. Funciona en tu navegador.

Codificador / decodificador Base64

Codificador y decodificador Base64 online gratis. Codifica texto a Base64 o decodifica Base64 a texto plano, con soporte completo Unicode (UTF-8). Se ejecuta por completo en tu navegador.