Cómo decodificar un JWT
- Pega el token, con o sin la palabra Bearer.
- Lee la cabecera y el payload decodificados.
- Comprueba las fechas de emisión y caducidad en tu zona horaria.
Cómo se construye un JWT
Un token es header.payload.signature. Cabecera y payload son JSON codificado en Base64URL; la firma se calcula con un secreto (HS256) o una clave privada (RS256, ES256).
Depurar la autenticación
Al decodificarlo ves si caducó, para qué audiencia (aud) y emisor (iss) se creó y qué roles o scopes lleva: las causas típicas de errores 401 y 403.
Nada secreto en el token
Quien tenga el JWT puede leer el payload: nunca pongas contraseñas ni datos personales. Usa tokens de vida corta y guárdalos donde scripts de otros sitios no puedan leerlos.
Preguntas frecuentes
¿Es seguro pegar mi token aquí?
La decodificación ocurre solo en tu navegador y no se envía ni guarda nada. Aun así, trata los tokens de producción como contraseñas.
¿Qué contiene un JWT?
Una cabecera con el algoritmo de firma, un payload con claims como el ID de usuario y las fechas, y una firma. Cabecera y payload solo están codificados en Base64URL, no cifrados.
¿Qué significan iat, nbf y exp?
Fecha de emisión, inicio de validez y caducidad, cada una como timestamp Unix en segundos.