Cómo decodificar un JWT
- 1Pega el token. Un «Bearer » inicial se quita automáticamente.
- 2Lee la cabecera y el payload como JSON formateado.
- 3Consulta «Claims de tiempo» para ver si el token ha caducado o aún no es válido.
Cómo está formado un JWT
Un JWT son tres cadenas Base64url unidas por puntos. La cabecera y el payload son JSON; la firma es binaria y solo se puede comprobar con la clave del emisor.
Claims registrados
issEmisor: quién creó el tokensubSujeto: normalmente el ID del usuarioaudAudiencia: el servicio al que va destinado el tokenexpFecha de caducidad, en segundos desde 1970nbfNo antes de: el token no es válido hasta esta fechaiatFecha de emisiónjtiJWT ID: identificador único del tokenPreguntas frecuentes
¿Es seguro pegar aquí un token real?
El token se decodifica en tu navegador y no se envía a ningún sitio. Aun así, trata los tokens activos como contraseñas y no los pegues en herramientas en las que no confíes.
¿Por qué no se verifica la firma?
Verificarla requiere el secreto o la clave pública del emisor. Decodificar solo muestra lo que el token afirma; en un servidor, nunca confíes en esos claims sin verificar la firma.
¿Un JWT está cifrado?
Un JWT firmado estándar no lo está. Cualquiera que tenga el token puede leer su payload, que es solo JSON codificado en Base64url. No guardes secretos en él.
¿En qué zona horaria están las fechas?
En la zona horaria local de tu dispositivo. Los valores originales del payload son marcas de tiempo Unix en segundos UTC.