Decodificador de JWT

PorOleh Soloninactualizado el 25 de septiembre de 2026

Resultado

Token HS256 con 4 campos en el contenido — caducado.

Cabecera

{ "alg": "HS256", "typ": "JWT" }

Contenido

{ "sub": "1234567890", "name": "María García", "iat": 1786536000, "exp": 1786622400 }

Vigencia

caducado — el token terminó el 2026-08-13 a las 12:00 UTC, 53,5 días antes de la fecha de comprobación

Fechas

emitido 2026-08-12 12:00 UTC, duración 24 horas

Cálculo

3 partes separadas por puntos: cabecera 36 caracteres (27 bytes de JSON), contenido 104 caracteres (78 bytes), firma 11 caracteres. Base64url lleva 3 bytes por cada 4 caracteres. El campo exp vale 1786622400: segundos desde el 1 de enero de 1970, lo que da el 2026-08-13 a las 12:00 UTC.

Importante

Algoritmo HS256. Aquí no se comprueba la firma: para eso hace falta la clave de quien lo emitió.

El resultado es orientativo y no sustituye a una asesoría profesional.

Leer la cabecera y el contenido de un JSON Web Token, con su vigencia.

Un JSON Web Token firmado (JWS compacto, el caso habitual) tiene tres partes separadas por puntos: cabecera, contenido y firma. Las dos primeras no son más que JSON codificado en Base64: cualquiera puede leerlas sin tener ninguna clave. Los JWT cifrados (JWE) tienen cinco partes y no se leen así.

Eso se malinterpreta a menudo. Un JWT firmado, el de tres partes, no oculta nada; la firma solo demuestra que el contenido no se ha alterado. Existen también tokens cifrados (JWE), que este decodificador no lee. Quien mete un secreto en el contenido lo está publicando.

Cómo usar la calculadora

Pegue el token: se descompone en el navegador y no se envía a ninguna parte.
La fecha de comprobación decide entre «vigente» y «caducado»; viene puesta la de hoy.
El token de ejemplo caducó el 13 de agosto de 2026. Ponga una fecha anterior y el resultado cambia, así se ven los dos casos.

Las tres partes del token de ejemplo

Un JWT son tres cadenas Base64url separadas por puntos: cabecera, contenido y firma. Las dos primeras están codificadas, no cifradas, así que cualquiera que tenga el token las lee sin clave alguna. Eso es justo lo que hace esta página.

Base64url lleva tres bytes por cada cuatro caracteres. Por eso las partes de JSON son alrededor de un cuarto más cortas que su forma dentro del token, y por eso un token engorda de forma apreciable con cada campo que se le añade: viaja en cada petición.

Todas las cifras salen de la calculadora de esta página, con el token de ejemplo. La firma es ahí deliberadamente demasiado corta para HS256: un token real lleva en ese sitio 43 caracteres.
Parte	Caracteres en el token	Bytes de JSON	Contenido
Cabecera	36	27	alg: HS256, typ: JWT
Contenido	104	78	sub, name, iat, exp
Firma	11	—	aquí no se comprueba

Los siete campos normalizados

El RFC 7519 fija siete nombres; todo lo demás del contenido es libre y solo está acordado entre quien emite y quien recibe. Tres de los siete son fechas, y las tres van en segundos desde el 1 de enero de 1970, no en milisegundos, que es el error más común al montarlo a mano.

La calculadora lee esas tres y las convierte en fechas. Los demás los muestra tal cual: iss, sub, aud y jti también tienen un significado definido en el RFC 7519, pero no son fechas, y los campos propios solo los entienden el emisor y el receptor.

En el token de ejemplo, exp vale 1786622400: segundos desde el 1 de enero de 1970, lo que da el 13 de agosto de 2026 a las 12:00 UTC. Esa misma conversión aparece en «Cálculo».
Campo	Significado	Formato
iss	quién lo emite	cadena
sub	sujeto: a quién pertenece el token	cadena
aud	destinatario al que va dirigido	cadena o lista
exp	caduca el	segundos desde 1970
nbf	no válido antes de	segundos desde 1970
iat	emitido el	segundos desde 1970
jti	identificador único del token	cadena

Qué hay en los campos de fecha

exp es el momento de caducidad, iat el de emisión y nbf el primer instante en que el token vale. Los tres son marcas de tiempo Unix en segundos, no en milisegundos, y ahí se equivoca mucha gente.

Si falta exp, el token no declara caducidad; la aplicación puede rechazarlo o aplicarle su propia vigencia. En un token de acceso eso casi siempre es un error: si alguien lo intercepta y el servidor lo acepta, sigue valiendo, porque un JWT no se puede revocar sin una lista de bloqueo aparte.

Por qué esta página no verifica la firma

Para verificarla haría falta el secreto o la clave pública de quien lo emitió. Un secreto o una clave privada no se escriben nunca en un formulario web; una clave pública sí puede compartirse, pero tiene que venir de una fuente de confianza. Esta página no verifica firmas: solo decodifica.

Un token decodificado dice lo que pone, no si es auténtico. La verificación va en el servidor, con una biblioteca y con el algoritmo permitido fijado de antemano: si no, se abre el agujero conocido del alg igual a none.

Fuentes

Cifras vigentes en 2026. Los resultados son orientativos y no sustituyen el asesoramiento profesional.

Preguntas frecuentes

¿Puedo pegar aquí un token sin riesgo?

El proceso ocurre en el navegador y no se envía nada. Aun así, un token de acceso válido es como una contraseña: para mirar, mejor uno caducado o uno de prueba creado a propósito.

¿Qué significa el algoritmo de la cabecera?

HS256 indica un secreto compartido, y RS256 o ES256 un par de claves. El valor none significa sin firma: donde se espera un token firmado no debe aceptarse nunca, y aceptarlo fue una de las vulnerabilidades más conocidas de los JWT. El RFC 7519 solo lo prevé cuando el propio protocolo protege el token por otra vía.

¿Por qué está caducado el token de ejemplo?

Porque su campo exp está fijado en el 13 de agosto de 2026: un token lleva dentro su propia caducidad y esta página no se reconstruye en cada visita. El caso resulta útil: ponga una fecha de comprobación anterior y la misma cadena pasa a contar como vigente.

¿Qué significa un número como 1786622400?

Segundos desde el 1 de enero de 1970 a las 00:00 UTC. Ese número describe un instante de forma inequívoca en todo el mundo, sin zona horaria ni horario de verano. Si el campo trae trece cifras, son milisegundos: entonces el token va mil veces desplazado y caduca dentro de unos 56 000 años.

¿Puedo revocar un token ya emitido?

El token en sí no. Vale hasta su exp, porque el servidor solo comprueba la firma y para eso no consulta nada: en eso consiste el diseño. Quien quiera poder revocar necesita una lista de revocación en el servidor o duraciones cortas con un token de refresco, y las dos opciones devuelven parte de la ventaja.

¿Qué no debe ir en el contenido?

Nada que no pueda leer cualquiera. El contenido está codificado, no cifrado, y esta página enseña lo fácil que es abrirlo. Contraseñas, números de documento completos o datos de salud no van ahí, tampoco «de forma temporal».

Enlaces útiles

Desarrollo y web Todas las calculadoras

Decodificador de JWT

Resultado

También te puede servir

Conversor Base64

Generador de hash MD5, SHA-1 y SHA-256

Conversor de marca de tiempo Unix

Generar y comprobar UUID

Comprobador de fuerza de contraseña

Formateador de JSON

Enlaces útiles