Decodificador JWT local
Pega un JWT para leer su cabecera y sus claims como JSON formateado; la firma no se verifica, así que no sirve como prueba de confianza.
- Funciona en tu navegador
- Sin subir archivos
- El resultado se queda en tu dispositivo
Privacidad y límitesSe ejecuta en tu navegador. No se sube nada.
El contenido de las entradas queda en esta pestaña; Refentra no lo sube ni guarda. Los recuentos agregados opcionales de acciones solo se envían con tu consentimiento de medición de uso. Borra el espacio al terminar.
Perfil compatible: Solo cabecera y claims JWT. Firma, emisor y audiencia NO verificados.
Máximo 200.000 unidades UTF-16; los parsers pueden admitir menos. Worker: 15 segundos (regex 1,5 segundos).
Revisa la entrada y el resultado
- Prepara la entrada y elige la operación
Pega un JWT de tres partes; examina la cabecera, el payload y las fechas sin dar por fiables los datos decodificados.
- Comprueba un ejemplo concreto
Prueba esta muestra y compara el resultado indicado: eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJ0ZXN0In0.signature → header {"alg":"HS256"}, payload {"sub":"test"}
- Revisa el resultado antes de reutilizarlo
Compara las observaciones de exp y nbf con el reloj actual; decodificar un token nunca establece quién lo emitió ni qué autorización tiene.
Respuestas sobre esta tarea
¿Se verifica la firma?
No. La cabecera y el payload se decodifican de base64url; un atacante puede falsificar ambos, aunque las declaraciones que se muestran parezcan verosímiles.
¿Qué compruebo si falla la entrada?
Quita el texto Bearer de delante, si lo hay; conserva los dos puntos y comprueba que los dos primeros segmentos sean JSON en base64url válido.
¿Hasta dónde llega esta herramienta?
Esto no autentica a usuarios, ni verifica claves criptográficas, ni contacta con los emisores, ni aplica la audiencia ni la política de tu aplicación.