Decodificador de JWT

Decodificar por sí solo no verifica la autenticidad, ya que el encabezado y el payload solo están codificados en base64url, no cifrados, y cualquiera puede leerlos sin una clave. Para comprobar si un token fue realmente firmado por la parte esperada, usa el campo opcional de verificación de firma a continuación, que solo admite el algoritmo HS256.

HS256 usa un único secreto compartido tanto para firmar como para verificar, por lo que esta herramienta puede comprobar una firma usando solo el secreto que proporciones. RS256, ES256 y otros algoritmos asimétricos firman con una clave privada y verifican con una clave pública diferente, que esta herramienta no recopila, por lo que verificarlos de forma segura está fuera del alcance aquí.

Son declaraciones de marca de tiempo estándar de JWT, todas expresadas como tiempo Unix (segundos desde 1970). exp es cuándo caduca el token, iat es cuándo se emitió, y nbf ("not before") es el momento más temprano en que el token se considera válido. Esta herramienta convierte cada una en una fecha legible automáticamente.

Significa que la declaración exp en el payload es una marca de tiempo anterior a la hora actual, por lo que un servidor que valide correctamente este token lo rechazaría. Esta herramienta solo comprueba la declaración y el reloj de tu dispositivo, no contacta con ningún servidor.

El token se decodifica completamente en tu navegador y nunca se envía a ningún sitio, por lo que pegarlo aquí es tan seguro como verlo en la consola de desarrollador de tu propio navegador. Dicho esto, trata cualquier token con declaraciones sensibles como tratarías una contraseña, y evita pegar tokens en herramientas en las que no confíes.