key Decodificador de JWT star

Cómo Funciona

Un JSON Web Token es una cadena compacta formada por tres partes codificadas en Base64URL y unidas por puntos: header.payload.signature. Base64URL es una variante de Base64 segura para URLs que sustituye +// por -/_ y elimina el relleno final =, de modo que el resultado puede colocarse dentro de una URL o una cabecera HTTP sin necesidad de escapado. La cabecera es un pequeño objeto JSON que indica el algoritmo de firma y el tipo de token — normalmente {"alg":"HS256","typ":"JWT"}. El payload es un objeto JSON de «claims»: pares clave/valor arbitrarios que describen a quién representa el token y qué puede hacer, además de unos pocos claims de tiempo registrados — iat (emitido en), nbf (no válido antes de) y exp (expiración), todos almacenados como marcas de tiempo Unix. La firma se calcula sobre las dos primeras partes usando el algoritmo indicado en la cabecera y una clave que solo posee el servidor emisor.

Pega un token aquí y la herramienta lo divide por sus dos puntos, decodifica en Base64URL la cabecera y el payload, y presenta cada uno como JSON con sangría legible. Los valores exp/iat/nbf se convierten además a una fecha legible, con una insignia que muestra de un vistazo si el token está actualmente caducado.

Los JWT son la columna vertebral de la mayoría de los sistemas de autenticación modernos: los tokens de acceso de OAuth 2.0, los tokens de identidad de OpenID Connect y muchos sistemas de sesión personalizados usan este formato porque permite que un servidor emita una credencial autocontenida que otros servicios pueden leer sin consultar una base de datos — siempre que puedan verificar la firma. Los algoritmos habituales son HS256 (HMAC con secreto compartido) y RS256/ES256 (firmas asimétricas RSA o de curva elíptica, en las que el emisor conserva una clave privada y cualquiera puede verificar con la clave pública correspondiente).

Lo Que Deberías Saber

Decodificar no es verificar. La cabecera y el payload solo están codificados, no cifrados, así que cualquiera puede leerlos sin necesidad de clave — y cualquiera puede también falsificar un token con los claims que quiera. Lo único que hace fiable a un JWT es su firma, y comprobar una firma requiere el secreto (algoritmos HMAC) o la clave pública del emisor (algoritmos RSA/ECDSA). Esa comprobación corresponde a un servidor que posea la clave; no puede hacerse con seguridad dentro de una herramienta de navegador, ya que exponer ahí un secreto anularía su propósito. Trata este decodificador estrictamente como una ayuda de depuración — nunca como prueba de que un token es auténtico o sigue siendo válido.

Ten también cuidado con lo que pegas: un JWT transporta datos de sesión o de autorización, así que trátalo como una contraseña y evita pegar tokens reales de producción en cualquier herramienta de un equipo compartido. Los tokens con cinco partes separadas por puntos son JWE (cifrados), no JWS (firmados) — este decodificador gestiona la variante firmada, mucho más habitual. Y nunca confíes ciegamente en el campo alg en tu propio código de verificación — un ataque conocido engaña a implementaciones ingenuas para que acepten alg: none o cambien RS256 por HS256, razón por la cual la verificación de firmas debe hacerse con bibliotecas auditadas y no con código escrito a mano.