Decodificador / Inspector de JWT
Pega un JWT para decodificar su encabezado y su payload y comprobar riesgos como alg:none, la expiración o la falta de exp. Todo se ejecuta en tu navegador; las firmas no se verifican.
Pega un JWT arriba para ver el resultado decodificado.
Cómo usarla
- 1
Pega el JWT que quieres inspeccionar (encabezado.payload.firma — tres partes).
- 2
El encabezado y el payload se decodifican y se enumeran los valores peligrosos.
- 3
exp / iat / nbf se muestran como marcas de tiempo legibles.
Por qué importa
Preguntas frecuentes
Q¿Se envía mi JWT a algún sitio?
No. La decodificación ocurre por completo en tu navegador; el token nunca se envía a un servidor. Aun así, ten cuidado al manejar secretos de producción.
Q¿Se verifica la firma?
No. Esta herramienta solo decodifica e inspecciona el contenido (la verificación necesita la clave; para la defensa lo importante es ver qué hay dentro).