Decodificador y verificador de JWT
Pega un JWT para leer su cabecera y su payload, ver si ha caducado y verificar la firma con un secreto o una clave pública.
Se ejecuta en tu navegador: no se sube nada.
Cabecera
CopiadoPayload
CopiadoClaims de tiempo
| Claim | Fecha | Estado |
|---|---|---|
Firma
Verificar firma
HS: el secreto. RS / PS / ES: una clave pública PEM o un JWK / JWKS.
Cómo se usa
- Pega el token (un «Bearer » al principio se ignora). La cabecera, el payload y las fechas aparecen al instante.
- Para verificar la firma, introduce el secreto (HS256/384/512) o la clave pública en PEM o JWK (algoritmos RS, PS y ES) y pulsa Verificar.
- Atiende los avisos: un token con alg «none» no tiene firma y no demuestra nada.
Preguntas frecuentes
¿Se sube mi token o mi clave?
No. La decodificación y la verificación se ejecutan en tu navegador con la API Web Crypto. Esta página no carga anuncios, analítica ni scripts de terceros, y nada de lo que pegas se registra.
¿Qué algoritmos puede verificar?
HS256, HS384, HS512 (secreto), RS256/384/512 y PS256/384/512 (clave pública RSA) y ES256/384/512 (clave pública P-256, P-384, P-521).
¿Qué formatos de clave admite?
Una clave pública PEM («BEGIN PUBLIC KEY» o «BEGIN RSA PUBLIC KEY»), un JWK suelto o un JWKS (se usa la clave cuyo kid coincide con el token; si no, la primera). En tokens HS, el secreto como texto, como base64url o como JWK oct.
¿Que un token se decodifique significa que es válido?
No. Cualquiera puede leer un JWT; solo una firma correcta demuestra que lo emitió quien tiene la clave. Los servidores deben comprobar además exp, aud e iss.
¿Por qué el aviso de alg «none»?
Un token con alg «none» no está firmado. Los servidores que lo aceptan permiten que cualquiera falsifique tokens, así que esta herramienta se niega a «verificarlo».