Cómo funciona
Un JSON Web Token tiene tres partes Base64URL separadas por puntos: la cabecera, la carga útil y la firma. Decodificar solo lee las dos primeras, así que funciona sin conexión y nunca demuestra quién emitió el token. Solo comprobar la firma con la clave del emisor demuestra la autenticidad, y un token caducado debe rechazarse aunque la firma sea válida.
header.payload.signature → JSON + fechas + comprobación de firma
Qué clave usar
- HS256 / HS384 / HS512: pega el texto del secreto compartido. Quien lo tenga puede firmar y verificar.
- RS256–RS512 / PS256–PS512: pega la clave pública en PEM (SPKI) o JWK. La clave privada queda en manos del emisor.
- ES256 / ES384 / ES512: pega la clave pública EC en PEM o JWK; la firma en bruto R‖S del token se convierte sola.
- EdDSA: pega la clave pública de 32 bytes en Base64URL o hexadecimal.
- none: ninguna firma. Nunca debes confiar en esos tokens.
Consejos
- exp, iat y nbf se muestran como fechas, indicando si cada una ya pasó.
- Pegar aquí un token real de acceso es seguro ante la red, pero quien tenga el token puede usarlo: mejor usa tokens cortos de prueba.
- Todo se ejecuta en tu navegador; nada se sube.
Normas y fuentes
- JSON Web Token (JWT): RFC 7519; firmas JWS: RFC 7515
- Algoritmos (HS/RS/PS/ES): RFC 7518; EdDSA: RFC 8032
- Base64URL: RFC 4648
Última revisión 12 de octubre de 2026
Preguntas frecuentes
¿Qué demuestra decodificar?
Nada sobre la autenticidad. Decodificar solo lee la cabecera y la carga útil, que cualquiera puede falsificar. Solo comprobar la firma con la clave del emisor demuestra que el token es auténtico.
¿Qué algoritmos se pueden verificar?
HMAC (HS256/384/512) con el secreto compartido, RSA (RS/PS) y ECDSA (ES256/384/512) con clave pública PEM o JWK, y EdDSA (Ed25519) con la clave pública en bruto. Los tokens con alg none no tienen firma y nunca deben aceptarse.
¿Por qué el servidor rechaza mi token válido?
Las causas habituales son un exp caducado, audiencia o emisor incorrectos, o desfase de reloj entre firmante y servidor. Esta página muestra cada fecha para que veas cuál falla.
¿Es seguro pegar aquí un token real?
La página funciona sin conexión y no envía nada a ningún sitio, pero quien tenga el token puede usarlo hasta que caduque. Mejor usa tokens de prueba de corta duración que tokens de producción.