Inspecciona cualquier token JWT
Los JSON Web Tokens (JWT) son omnipresentes en la autenticación web moderna: los usan APIs, aplicaciones móviles y sistemas de inicio de sesión. Cuando depuras un problema de autenticación, a menudo necesitas ver qué hay dentro del token: qué algoritmo usa, qué datos contiene y cuándo caduca. Esta herramienta decodifica esas partes al instante, sin enviar el token a ningún servidor.
Las tres partes de un JWT
- Cabecera: indica el tipo de token y el algoritmo de firma (por ejemplo, HS256).
- Contenido (payload): los datos o «claims», como el usuario, los permisos o las fechas de validez.
- Firma: garantiza que el token no se ha modificado. Se verifica en el servidor con una clave secreta.
Codificado no es cifrado
Es un malentendido muy común: el contenido de un JWT no está cifrado, solo codificado en Base64URL. Eso significa que cualquiera que tenga el token puede leer su payload (esta herramienta lo demuestra). La firma no oculta los datos, solo certifica que no han sido alterados. La consecuencia práctica es clara: nunca guardes contraseñas ni datos sensibles dentro de un JWT.
Herramientas relacionadas
Como el JWT se apoya en Base64, te pueden interesar el codificador Base64, el formateador de JSON y el generador de hash. Más en herramientas de archivos.