Decodificador JWT

¿Qué es un JWT (JSON Web Token)?

Un JSON Web Token (JWT) es un formato de token compacto y seguro para URLs, definido en RFC 7519. Codifica un conjunto de claims como un objeto JSON, luego lo firma — y opcionalmente lo cifra — para que el destinatario pueda verificar que los datos no han sido alterados. Los JWT son el estándar de facto para la autenticación sin estado en REST APIs, sistemas de inicio de sesión único y autorización de microservicios.

Anatomía del JWT: Encabezado · Payload · Firma

Todo JWT está formado por tres segmentos codificados en base64url separados por puntos. El encabezado y el payload son JSON plano — legibles por cualquiera — mientras que la firma es un valor criptográfico que solo puede verificarse con la clave correcta.

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub":  "user123",
  "name": "Alice",
  "role": "admin",
  "iat":  1717200000,
  "exp":  1717203600
}

¿Por qué usar un decodificador de JWT?

Los JWT sin procesar parecen texto aleatorio. Esta herramienta muestra al instante el encabezado y el payload como JSON formateado para que puedas inspeccionar los claims, verificar los tiempos de expiración y auditar las opciones de algoritmo sin escribir una sola línea de código.

Referencia de claims estándar de JWT

RFC 7519 define siete nombres de claims registrados. No son obligatorios, pero su uso es muy recomendado para la interoperabilidad. Puedes añadir cualquier claim personalizado al payload.

Algoritmos de firma de JWT

El claim de encabezado alg declara qué algoritmo firmó el token. La elección afecta la seguridad, el rendimiento y si los servicios de terceros pueden verificar tokens sin la clave privada.

Consideraciones de seguridad

Decodificar un JWT siempre es seguro. Confiar en un JWT sin la verificación adecuada de la firma no lo es. Ten en cuenta estas reglas siempre que consumas tokens en tu aplicación.

Casos de uso comunes

Decodificando JWT en código

El encabezado y el payload están codificados en base64url — simplemente invierte la codificación. Base64url reemplaza + por - y / por _, y omite el relleno =. Solo la firma requiere la clave secreta.

function decodeJWT(token) {
  const [, payload] = token.split('.')
  const json = atob(payload.replace(/-/g, '+').replace(/_/g, '/'))
  return JSON.parse(json)
}

const [, payload] = token.split('.')
const decoded = JSON.parse(
  Buffer.from(payload, 'base64url').toString()
)

import base64, json

def decode_jwt(token):
    payload = token.split('.')[1]
    padding = '=' * (-len(payload) % 4)
    return json.loads(base64.urlsafe_b64decode(payload + padding))

TOKEN="eyJhbGc..."
echo $TOKEN | cut -d. -f2 | base64 -d 2>/dev/null | jq .

Preguntas frecuentes