¿Puedo verificar la firma aquí?

Este es un decodificador, no un validador. La verificación de la firma requiere su clave privada/pública, que no solicitamos para garantizar su seguridad.

¿Es seguro mi token?

Sí. La decodificación ocurre 100% en el lado del cliente. Su token nunca sale de su navegador.

¿Cuáles son las tres partes de un JWT?

Un JWT consta de tres segmentos codificados en Base64URL separados por puntos: el Encabezado (algoritmo y tipo de token), el Payload (claims como ID de usuario y expiración) y la Firma (usada para verificar que el token no ha sido manipulado).

¿Es seguro pegar un JWT en un decodificador online?

Nuestro decodificador se ejecuta completamente en tu navegador — tu token nunca se envía a un servidor. Sin embargo, como buena práctica, evita pegar tokens de producción con claims sensibles en cualquier herramienta online. Usa tokens de prueba o desarrollo para depuración.

¿Cuál es la diferencia entre HS256 y RS256 en un JWT?

HS256 usa una clave secreta compartida tanto para firmar como para verificar (simétrico). RS256 usa una clave privada para firmar y una clave pública para verificar (asimétrico). RS256 es preferido para APIs públicas porque el verificador nunca necesita la clave privada.

¿Puedo decodificar un token JWT que usa firma asimétrica RS256 o ES256?

Sí. Decodificar un JWT solo requiere decodificar en base64url las secciones de encabezado y carga útil — el algoritmo de firma no afecta la legibilidad. Puedes decodificar tokens firmados con cualquier algoritmo (HS256, RS256, ES256, PS256, etc.) para leer las reclamaciones internas. La verificación de firma es un paso separado: HS256 requiere el secreto compartido, mientras que RS256 y ES256 requieren la clave pública. La herramienta puede verificar firmas HS256 si proporcionas el secreto.

Decodificador JWT — Inspeccionar Tokens JWT Gratis Online

Acerca de Decodificador JWT

Decodifique y analice JSON Web Tokens (JWT) de forma instantánea y segura. Esta herramienta permite a los desarrolladores inspeccionar los componentes del encabezado, la carga útil y la firma de un JWT sin necesidad de una clave secreta ni exponer datos sensibles a un servidor.

Cómo usar

Pegue su JWT codificado en el campo de entrada del token.
La herramienta analizará automáticamente la cadena en sus partes componentes.
Revise las secciones de Encabezado y Carga útil para ver los datos JSON decodificados.
Use los botones 'Copiar' para guardar las secciones individuales para la depuración.

Casos de uso comunes

Comprobar las marcas de tiempo de expiración (exp) y emisión (iat) de un token.
Verificar las reclamaciones y roles de usuario incrustados en una carga útil.
Depuración de flujos de autenticación en aplicaciones web y móviles.

Detalles técnicos

Implementa la lógica de decodificación JWT estandarizada localmente con JavaScript. Admite JWS (tokens firmados) y muestra estructuras JSON en bruto para una inspección fácil.

Preguntas frecuentes

¿Puedo verificar la firma aquí?: Este es un decodificador, no un validador. La verificación de la firma requiere su clave privada/pública, que no solicitamos para garantizar su seguridad.
¿Es seguro mi token?: Sí. La decodificación ocurre 100% en el lado del cliente. Su token nunca sale de su navegador.
¿Cuáles son las tres partes de un JWT?: Un JWT consta de tres segmentos codificados en Base64URL separados por puntos: el Encabezado (algoritmo y tipo de token), el Payload (claims como ID de usuario y expiración) y la Firma (usada para verificar que el token no ha sido manipulado).
¿Es seguro pegar un JWT en un decodificador online?: Nuestro decodificador se ejecuta completamente en tu navegador — tu token nunca se envía a un servidor. Sin embargo, como buena práctica, evita pegar tokens de producción con claims sensibles en cualquier herramienta online. Usa tokens de prueba o desarrollo para depuración.
¿Cuál es la diferencia entre HS256 y RS256 en un JWT?: HS256 usa una clave secreta compartida tanto para firmar como para verificar (simétrico). RS256 usa una clave privada para firmar y una clave pública para verificar (asimétrico). RS256 es preferido para APIs públicas porque el verificador nunca necesita la clave privada.
¿Puedo decodificar un token JWT que usa firma asimétrica RS256 o ES256?: Sí. Decodificar un JWT solo requiere decodificar en base64url las secciones de encabezado y carga útil — el algoritmo de firma no afecta la legibilidad. Puedes decodificar tokens firmados con cualquier algoritmo (HS256, RS256, ES256, PS256, etc.) para leer las reclamaciones internas. La verificación de firma es un paso separado: HS256 requiere el secreto compartido, mientras que RS256 y ES256 requieren la clave pública. La herramienta puede verificar firmas HS256 si proporcionas el secreto.

Procesamiento local

Nuestras herramientas locales de archivos, texto y gráficos procesan el contenido en tu dispositivo mediante JavaScript, APIs del navegador y, cuando hace falta, WebAssembly. Nuestros eventos no incluyen nombres o contenido de archivos, texto introducido, valores de gráficos, errores sin filtrar, correos ni referencias de licencia. Las herramientas de red (DNS, WHOIS, IP y pruebas de velocidad) contactan servicios externos para su función. Cargar el sitio, fuentes, bibliotecas y modelos también genera solicitudes de red. WebAssembly no impide por sí mismo el acceso a la red.

Cómo Decodificar JWT Localmente Sin Filtrar Tus Tokens

Puedes decodificar y verificar un JWT completamente dentro de tu navegador sin enviar un solo byte a un servidor externo. Un decodificador local basado en WASM analiza el encabezado, el payload y la firma en milisegundos, manteniendo tus tokens, tus datos de usuario y la arquitectura interna de tu sistema completamente privados.

Todos lo hemos hecho. Estás depurando un flujo de autenticación, obtienes esa enorme cadena de texto de la pestaña de red de tu navegador y la pegas en el primer resultado de búsqueda de "decodificador JWT."

Y listo. Inmediatamente ves el encabezado, el payload y tus claims de usuario formateados en JSON. Resuelve tu problema inmediato, corriges el bug, cierras la pestaña y sigues adelante.

Pero aquí está la dura verdad de ese flujo de trabajo: acabas de entregar un token de acceso activo y potencialmente válido a un servidor de terceros del que no sabes nada.

Los JSON Web Tokens (JWT) son la columna vertebral de la autenticación moderna sin estado. Contienen identidades de usuarios, roles y arquitecturas internas de sistemas. Pegarlos en utilidades en línea al azar es un enorme punto ciego de seguridad.

En MLOGICTECH, nos dimos cuenta de que esto era una brecha evidente en el conjunto de herramientas estándar del desarrollador. Nos propusimos construir una alternativa completamente privada para LokalTools.

A continuación explicamos exactamente por qué pegar JWT propietarios en línea es peligroso, cómo la estructura del token engaña a los desarrolladores y cómo diseñamos un decodificador y verificador que opera exclusivamente en el navegador.

¿Por Qué los Desarrolladores Pegan JWT en Herramientas en Línea?

Los desarrolladores generalmente saben que no deben pegar una contraseña de base de datos en un sitio web aleatorio. Entonces, ¿por qué tratamos los JWT de forma diferente?

Todo se reduce a cómo se ven.

Un JWT es una larga cadena de caracteres alfanuméricos aparentemente aleatorios dividida por dos puntos. Parece una encriptación de alto nivel. Se siente seguro de compartir porque se asemeja a un hash criptográfico.

Eso es una ilusión.

Los JWT están estrictamente compuestos por tres partes:

El Encabezado (Header): Declara el tipo de token y el algoritmo de firma (como HMAC SHA256 o RSA).
El Payload: Contiene los "claims" o los datos reales (IDs de usuario, correos electrónicos, indicadores de administrador).
La Firma (Signature): Una garantía matemática de que el token no ha sido manipulado.

¿El problema? El encabezado y el payload no están encriptados. Simplemente están codificados en Base64Url. Cualquier persona con una terminal básica puede decodificarlos instantáneamente usando funciones estándar.

Cuando pegas un token en un decodificador basado en la nube, estás exponiendo el payload sin procesar. Incluso si el token no contiene una contraseña, a menudo contiene Información de Identificación Personal (PII) como direcciones de correo electrónico, UUIDs internos y arquitecturas de permisos detalladas.

¿Cuáles Son los Riesgos Reales de los Decodificadores JWT en la Nube?

Las herramientas de desarrollo basadas en la nube tradicionales operan con un modelo simple: envíanos tus datos, los procesamos y devolvemos el resultado.

Cuando usas un decodificador JWT remoto, te enfrentas a varios riesgos graves:

Registro en Servidor: El servidor que aloja la herramienta podría estar registrando cada solicitud. Eso significa que tus tokens de producción activos ahora están en texto plano en un bucket de S3 o en una base de datos de alguien más.
Interceptación por Analytics: Muchas herramientas gratuitas se monetizan mediante seguimiento agresivo. Tu token podría ser capturado por scripts de analytics que se ejecutan en la página antes de que siquiera llegue al backend de decodificación.
La Falacia del "Token Expirado": Los desarrolladores suelen pensar: "No importa, el token expiró hace una hora." Un token expirado aún revela tu esquema de base de datos, tus convenciones de nomenclatura de roles (por ejemplo, role: super_admin) y tu estructura de enrutamiento interno. Estás mapeando los puntos débiles de tu aplicación para un atacante.

En nuestras pruebas, varios sitios populares de decodificadores JWT "gratuitos" realizan solicitudes salientes en cada evento de pegado. Tu token viaja a al menos un servidor que no elegiste.

¿Cómo Funciona la Verificación Local de JWT?

Cuando comenzamos a construir el Decodificador JWT de LokalTools, el objetivo inicial era simple: hacerlo 100% localmente.

Decodificar el payload en Base64Url es trivial. Unas pocas líneas de JavaScript lo resuelven instantáneamente sin ninguna solicitud de red. Pero una buena herramienta JWT no solo decodifica; también verifica la firma para asegurar que el token es realmente válido.

Aquí fue donde encontramos un obstáculo enorme.

Para verificar la firma de un token localmente, necesitas una biblioteca criptográfica robusta. La mayoría de los desarrolladores dependen de bibliotecas del lado del servidor como el módulo crypto de Node. Los navegadores sí tienen la API nativa Web Crypto, pero depender de ella para algoritmos JWT complejos y casos extremos en diferentes motores de navegador se convirtió en una pesadilla. Encontramos soporte inconsistente para algoritmos de curvas elípticas específicos dependiendo de si estabas en Chrome, Firefox o Safari.

En la práctica, un usuario reportó que un token perfectamente válido fallaba la verificación en nuestro prototipo inicial, pero pasaba en un decodificador de nube popular. Las API nativas del navegador simplemente no estandarizaban los cálculos de la manera que necesitábamos.

La Solución: No podíamos depender de APIs de navegador fragmentadas si queríamos confiabilidad de nivel empresarial. En cambio, recurrimos a WebAssembly (WASM).

WebAssembly (WASM) es un formato de instrucción binaria que se ejecuta en el navegador a velocidad casi nativa. Tomamos una biblioteca criptográfica probada en batalla, basada en C, y la compilamos directamente en WASM. Cuando cargas nuestra herramienta JWT, ese pequeño módulo WASM se inicia dentro de la memoria de tu navegador.

Ahora, cuando pegas un token y proporcionas tu clave pública o secreto para verificarlo, el motor WASM maneja los cálculos criptográficos pesados localmente. Garantiza consistencia entre navegadores para prácticamente todos los algoritmos de firma existentes. Tu clave secreta nunca sale de tu RAM y el hilo de UI se mantiene perfectamente desbloqueado.

¿Cuándo Tiene Sentido Usar un Decodificador JWT en la Nube?

En MLOGICTECH estamos obsesionados con la soberanía de datos. Mantener tus datos en tu máquina es generalmente el mejor enfoque. Sin embargo, la transparencia genera confianza, y hay escenarios específicos donde una solución basada en la nube tiene ventaja.

El procesamiento local del navegador está estrictamente vinculado a tu entorno inmediato.

Si estás dando un taller y necesitas generar un JWT ficticio para compartir una estructura de payload específica con 50 estudiantes a través de un simple enlace URL, un decodificador en la nube que te permite guardar y compartir "fiddles" es increíblemente útil.

De manera similar, si estás trabajando con una máquina heredada muy ligera y tratando de forzar bruta un secreto JWT débil para un ejercicio de pruebas de penetración autorizado, tu CPU del navegador local se saturará. Un servidor en la nube con un clúster de GPU dedicado está construido exactamente para ese tipo de trabajo pesado.

Pero esos son casos extremos. Para tu flujo de trabajo de ingeniería diario—depurar una API, verificar un payload de sesión o validar un token de staging—la decodificación local del lado del cliente es vastamente superior. Protege tus datos propietarios, cumple automáticamente con los requisitos de cumplimiento estrictos y se ejecuta instantáneamente.

Pruébalo Tú Mismo

Deja de filtrar la arquitectura interna de tu aplicación a servidores web aleatorios. Mantén tus tokens locales, seguros y completamente bajo tu control.

Visita el Decodificador JWT de LokalTools. Pega tu token más complejo y observa cómo nuestro motor WASM local lo analiza y verifica la firma instantáneamente dentro de tu pestaña del navegador, sin que un solo byte toque un cable de red.

Preguntas Frecuentes

¿Qué es un JWT? Un JSON Web Token (JWT) es un formato de token compacto y seguro para URL que se utiliza para transmitir claims de forma segura entre partes. Consiste en tres secciones codificadas en Base64Url—encabezado, payload y firma—separadas por puntos. El encabezado y el payload son legibles por cualquiera; solo la firma requiere un secreto o clave para verificarse.

¿Es seguro pegar un JWT en un decodificador en línea? No. Incluso los tokens expirados exponen tu esquema de datos interno, los roles de usuarios, las direcciones de correo electrónico y la arquitectura del sistema. Muchos sitios de decodificadores en línea gratuitos registran solicitudes o ejecutan scripts de analytics de terceros que pueden capturar el token antes de que ocurra cualquier decodificación.

¿Puedes decodificar un JWT sin la clave secreta? Sí. El encabezado y el payload están codificados en Base64Url, no encriptados, por lo que cualquiera puede decodificarlos y leerlos sin el secreto. El secreto (o clave pública) solo se necesita para verificar la firma, es decir, para confirmar que el token no ha sido manipulado.

¿Qué algoritmos admiten los JWT? Los JWT admiten algoritmos simétricos como HS256, HS384 y HS512 (usando un secreto compartido) y algoritmos asimétricos como RS256, RS384, RS512, ES256, ES384 y ES512 (usando un par de clave pública/privada). El algoritmo se declara en el encabezado del token.

¿Por qué la verificación local de JWT requiere WASM? Las implementaciones del navegador de la API Web Crypto han mostrado históricamente soporte inconsistente para ciertos algoritmos de curvas elípticas en Chrome, Firefox y Safari. Compilar una biblioteca criptográfica probada en C a WebAssembly (WASM) proporciona resultados deterministas entre navegadores para cada algoritmo de firma compatible.

¿Qué información se almacena típicamente en un payload JWT? Los payloads JWT comúnmente contienen un ID de usuario (sub), tiempo de expiración (exp), tiempo de emisión (iat), dirección de correo electrónico, claims de roles o permisos y metadatos específicos de la aplicación. Por eso filtrar tokens, incluso expirados, revela información sensible sobre la arquitectura de tu sistema.

¿El Decodificador JWT de LokalTools almacena o transmite mis tokens? No. El decodificador se ejecuta completamente en tu navegador usando JavaScript y WASM. Una vez cargada la página, funciona completamente sin conexión. Tu token, tu secreto y tu clave pública nunca salen de tu dispositivo.