Decodificar JWT
Decodifica las secciones header y payload de un token separado por puntos y muestra su JSON. Sirve para inspeccionar un token de prueba sin enviarlo a un decodificador remoto; el resultado no determina si el token debe aceptarse.
Tu archivo se procesa en tu navegador y no se guarda en CARCPI.
Cómo usarla
- 1Usa un token ficticio o de prueba que puedas manejar localmente.
- 2Pega la cadena completa y decodifica sus dos primeras partes.
- 3Comprueba firma, emisor, audiencia y vigencia en el sistema autenticador, fuera de esta utilidad.
Cuándo usar esta herramienta
- Inspeccionar claims de un fixture de autenticación.
- Comprobar si un generador de pruebas codificó el JSON esperado.
Cómo elegir y comprobar el resultado
Presencia de firma no significa firma válida
signaturePresent solo comprueba si existe una tercera parte no vacía. No recibe una clave, no recalcula una firma y no decide si exp ha vencido. Un atacante puede construir un payload legible: no uses la salida como autorización.
Token ilustrativo sin firma
eyJhbGciOiJub25lIn0.eyJzdWIiOiJkZW1vIn0. muestra header con alg none, payload con sub demo y signaturePresent false. Es un ejemplo de decodificación, no un token que una aplicación deba aceptar.
Qué debes tener en cuenta
- Espera JSON codificado en Base64URL; un contenido ilegible o JSON inválido produce error.
- No implementa descifrado de JWE ni introspección de tokens opacos.
Privacidad y procesamiento
La transformación se calcula en el navegador con el texto introducido. No requiere una petición a CARCPI con ese contenido; copiar o compartir el resultado queda bajo tu control.
FAQ
¿Comprueba exp?
No. Lo muestra si existe, sin validar su vigencia.
¿Necesita mi clave secreta?
No. Tampoco verifica la firma sin ella.
¿Puedo compartir la salida?
Puede contener datos sensibles de los claims. Revisa y elimina esos datos antes de compartirla.