Decodificador JWT
Pegue un JSON Web Token y lea su encabezado, su payload y sus claims estandar, con una advertencia de expirado o aun no valido cuando el token la lleve.
Token
El coloreado de sintaxis esta desactivado en este documento porque recolorear algo tan grande en cada pulsacion ralentizaria la escritura. Todas las herramientas siguen funcionando con normalidad.
Esto descodifica el token. No verifica la firma. Un token puede estar perfectamente bien formado y completamente falsificado al mismo tiempo; solo comprobarlo contra la clave real con la que se firmo puede notar la diferencia, y esta pagina nunca pide una.
Encabezado
El coloreado de sintaxis esta desactivado en este documento porque recolorear algo tan grande en cada pulsacion ralentizaria la escritura. Todas las herramientas siguen funcionando con normalidad.
El JSON descodificado aparece aqui.
Claims
Los claims descodificados aparecen aqui.
Payload
El coloreado de sintaxis esta desactivado en este documento porque recolorear algo tan grande en cada pulsacion ralentizaria la escritura. Todas las herramientas siguen funcionando con normalidad.
El JSON descodificado aparece aqui.
Firma
Se muestra exactamente como se escribio. Esto es salida criptografica, no texto, asi que no hay nada en que descodificarla.
Funciona por completo en tu navegador. Nada de lo que pegas se sube, y puedes comprobarlo en la pestana Red de tu navegador.
Sobre esta herramienta
Un JSON Web Token son tres partes codificadas en base64url unidas por puntos, un encabezado, un payload y una firma. El encabezado y el payload son en si mismos JSON una vez descodificados, asi que esta pagina descodifica cada uno con el mismo descodificador base64url que ya usa la herramienta JSON a Base64, con el alfabeto seguro para URL y el relleno ausente ambos gestionados, e informa cual de los dos fallo si alguno no se descodifica limpiamente o no resulta ser un objeto JSON. La firma se muestra exactamente como se escribio y nunca se descodifica mas alla, ya que es una salida criptografica y no texto, y no hay nada legible dentro que mostrar. Siete claims registrados del payload obtienen su propia fila cuando el token los lleva: issuer, subject, audience, issued-at, not-before, expiracion y un JWT ID, con los tres basados en tiempo leidos como las fechas que realmente son en lugar de dejarlos como numeros crudos. Un token cuya expiracion ya paso, o cuyo tiempo not-before aun no ha llegado, se marca como tal claramente en lugar de dejarle a usted deducirlo de los numeros crudos. Lo que esta pagina no hace, a proposito, es verificar la firma contra nada: hacerlo con honestidad necesita el secreto real o la clave publica con la que se firmo el token, que esta pagina nunca pide, y un descodificador que diera a entender una confianza que no puede respaldar seria peor que uno que no dice nada. Un token puede estar perfectamente bien formado, descodificarse limpiamente aqui, y aun asi estar falsificado o alterado, y solo una verificacion de firma real, una herramienta distinta, puede notar la diferencia.
Como se usa
- Pegue un JSON Web Token. Son las tres partes separadas por puntos que la mayoria de las API le entregan como una sola cadena.
- El encabezado, el payload y los claims estandar se descodifican mientras escribe. Nada de esto se envia a ningun lado; todo ocurre en su navegador.
- Revise el panel de Claims por una advertencia de expirado o aun no valido, y recuerde: esto descodifica el token, no lo verifica.