Decodificador JWT

Cómo usarla

Pega un token con dos o tres segmentos separados por puntos. Decodificar muestra la cabecera JSON, la carga útil JSON y el segmento de firma en bruto. La línea de estado indica que la firma no se ha verificado.

Ejemplo

El token de muestra se decodifica en una cabecera y una carga útil. signature_verified permanece en false.

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzQyIiwibmFtZSI6IkFkYSBMb3ZlbGFjZSIsInJvbGUiOiJlZGl0b3IifQ.not-a-verified-signature

{
  "header": {
    "alg": "HS256",
    "typ": "JWT"
  },
  "payload": {
    "sub": "user_42",
    "name": "Ada Lovelace",
    "role": "editor"
  },
  "signature": "not-a-verified-signature",
  "signature_verified": false
}

Cómo funciona

Cada segmento es Base64URL. El primero debe ser un objeto JSON. El segundo debe ser JSON. El tercer segmento se muestra y no se comprueba frente a un secreto o una clave pública. Un alg de none se señala como no autenticado.

Errores habituales

• La cabecera no es un objeto El primer segmento se decodificó, pero no era un objeto JSON.
• No hay dos o tres segmentos Un JWT compacto usa puntos como separadores. Los puntos de más suelen significar que el token se truncó o se pegó dos veces.
• Esperabas Valid Esta página no dice que un token sea válido. Comprobar una firma necesita una clave y es otra operación.

Limitaciones

Las claims de expiración, emisor y audiencia se muestran cuando están presentes. No se tratan como aprobado o fallido. El decodificador no almacena el token.

Privacidad

El token se decodifica localmente. No pegues un token de acceso en vivo si el dispositivo es compartido. PepsTools no envía el token a un servidor.

Preguntas

¿Puedo usar el resultado para autorizar una petición?

No. La autorización necesita una firma verificada y comprobaciones de claims. Esta herramienta solo decodifica.