Analizador de JWT
Decodifica e inspecciona JSON Web Tokens (JWT) con validacion en tiempo real. Consulta de forma segura el encabezado, la carga util y la firma en tu navegador.
Definición: Un JSON Web Token son tres partes codificadas en Base64URL —cabecera, carga útil, firma— unidas por puntos. La cabecera nombra el algoritmo de firma, y la firma se verifica con el material de claves de ese algoritmo según RFC 7519.
Encabezado
Carga util
Firma
Algoritmo
Token no válido
Cómo usar el analizador de JWT
Pegar el token
Paste your JWT token in the input area
Decodificación automática
Token automatically decodes on paste
Inspeccionar las partes
View header, payload, and signature data
Comprobar estado
Verifica la validez del token y su tiempo de expiración
Entender los tokens JWT
Que es un JWT?
Un JSON Web Token (JWT) es un medio compacto y seguro para URL de representar claims que se transfieren entre dos partes. Consta de tres partes — cabecera, payload y firma —, separadas por puntos y codificadas en base64url.
- • Header: Contains token type and signing algorithm
- • Payload: Contains claims or user data
- • Signature: Verifies token wasn't tampered with
- • Stateless: No server-side session storage needed
¿Por qué analizar JWT?
El análisis de JWT es esencial para depurar problemas de autenticación, verificar el contenido de los tokens, comprobar tiempos de expiración y entender qué datos se transmiten en los tokens.
- • Debugging: Inspect token contents during development
- • Security: Verify token structure and claims
- • Expiration: Check token validity period
- • Development: Understand authentication flow
Referencia de claims JWT estándar
Nombres de claims registrados definidos por el RFC 7519 que verás en casi todos los payloads de tokens.
| Claim | Nombre completo | Significado |
|---|---|---|
| iss | Emisor | Quién creó y firmó el token |
| sub | Asunto | Sobre quién es el token — normalmente el ID de usuario |
| aud | Audiencia | Para quién es el token (un cliente o una API) |
| exp | Expiración | Unix timestamp a partir del cual el token debe rechazarse |
| nbf | No antes de | Unix timestamp antes del cual el token no es válido |
| iat | Emitido el | Unix timestamp de cuándo se creó el token |
| jti | ID de JWT | Identificador único, útil para listas de revocación |
Algoritmos JWT comunes
- • HS256 (HMAC + SHA-256): Simétrico: un secreto compartido firma y verifica. Sencillo, pero cualquiera que tenga el secreto puede falsificar tokens.
- • RS256 (RSA + SHA-256): Asimétrico: la clave privada firma y la clave pública verifica. La opción estándar para sistemas distribuidos.
- • ES256 (ECDSA + SHA-256): Asimétrico como RS256 pero con firmas mucho más cortas: una buena opción moderna por defecto.
- • ninguno: Token sin firmar. Debe ser rechazado por cualquier verificador serio; históricamente, origen de vulnerabilidades críticas de omisión.
Notas de seguridad
- • Nunca pegues tokens de producción en herramientas desconocidas. Este analizador se ejecuta por completo en tu navegador (compruébalo: funciona sin conexión), pero eso no es cierto en todos los sitios.
- • Un JWT no está cifrado. El payload solo está codificado en base64url: cualquiera que tenga el token puede leerlo. Nunca guardes secretos en los claims.
- • Decodificar no es verificar. Una estructura con apariencia válida no dice nada sobre la firma. La verificación requiere la clave, que nunca sale de tu servidor de autenticación.
- • Comprueba exp en el servidor. Rechazar los tokens caducados es tarea del verificador, no del cliente.
Cuándo usan los desarrolladores un analizador JWT
Depurar respuestas 401 y 403
Comprueba si el token traía realmente los scopes, roles o caducidad esperados antes de culpar al servidor.
Inspeccionar tokens OAuth y OIDC
Decodifica un id_token o access_token y confirma que iss, aud y sub coinciden con la configuración de tu aplicación.
Soporte y resolución de problemas
Comprueba qué claims recibió realmente un usuario a partir de una captura, sin instalar ninguna herramienta local.
Aprender cómo funcionan los JWT
Pega tokens de ejemplo y observa cómo se relacionan cabecera, payload y firma.
Decodificación instantánea
Decodifica JWT automáticamente al pegar, con secciones codificadas por colores.
100% privado
Todo el decodificado ocurre en su navegador. Los tokens nunca salen de su dispositivo.
Completamente gratis
Sin registro ni límites. Analice tokens JWT libremente en cualquier momento.
Preguntas frecuentes sobre el analizador de JWT
¿Es seguro pegar un JWT en esta herramienta?
Sí. La decodificación se ejecuta por completo en tu navegador, sin llamadas de red — puedes comprobarlo desconectándote de internet y recargando la página. Aun así, evita pegar tokens de producción en cualquier sitio, como medida general de higiene.
¿Analizar un JWT verifica su firma?
No. El análisis solo decodifica el header y el payload en base64url. Verificar la firma requiere la clave de firma (secreto HMAC o clave pública), que solo posee tu servidor de autenticación.
¿Por qué puede leer cualquiera el payload de mi JWT?
Los payloads de los JWT están codificados, no cifrados. Cualquiera que tenga el token puede decodificarlo y leer los claims — es así por diseño. Nunca guardes secretos ni datos sensibles en el payload de un JWT.
¿Cómo sé cuándo expira un token?
Comprueba el claim exp — un Unix timestamp a partir del cual el token debe rechazarse. Este analizador resalta automáticamente el estado del token (activo, expirado o aún no válido) según exp y nbf.
¿Cuál es la diferencia entre HS256 y RS256?
HS256 es simétrico: un mismo secreto firma y verifica, así quien puede verificar también puede falsificar. RS256 es asimétrico: una clave privada firma y una pública verifica, más seguro cuando varios servicios deben validar tokens. Salvo motivo concreto, prefiere RS256 o ES256.
La cabecera de mi token dice "alg": "none", ¿es un problema?
Significa que el token no está firmado. Es una estructura JWT válida, pero un verificador nunca debe aceptarla: la vulnerabilidad clásica de JWT era atacantes que ponían alg a none para saltarse la verificación. Si tu backend acepta tokens sin firmar, trátalo como un fallo de seguridad.
Aumenta tu productividad con herramientas de análisis y formato de texto