RFC 7515 JWS y RFC 7519 JWT • Cero Fugas de Datos en Memoria

Decodificador de JWT y JWS Online (JSON Web Signature)

Inspecciona, decodifica y analiza tokens JWS y JWT localmente. Comprende por qué decodificar no equivale a verificar, examina claims y calcula expiraciones en tiempo real.

¿Se puede decodificar un JWS / JWT sin la clave secreta?

Sí. Los tokens estándar JWS (RFC 7515) y JWT (RFC 7519) están firmados, no cifrados. El encabezado (JOSE) y el payload son objetos JSON codificados en Base64URL que cualquiera puede decodificar y leer sin necesidad de una clave. La clave secreta solo se necesita para verificar o generar la firma criptográfica.

DISTINCIÓN DE SEGURIDAD CRÍTICA: DECODIFICAR ≠ VERIFICAR

Decodificar un JWT NO Demuestra que su Firma sea Válida

Un error común de seguridad es asumir que un token que se decodifica correctamente es legítimo. Los tokens JWS/JWT son cadenas Base64URL legibles por cualquiera. Nunca autorices permisos basándote solo en claims decodificados sin validar criptográficamente la firma con la clave secreta o certificado público.

Verificar Firma Criptográfica con Secreto / Clave Pública →
Privacidad 100% en el cliente: Tus tokens JWT, firmas JWS y credenciales se procesan únicamente en la memoria de tu navegador y NUNCA se transmiten a ningún servidor.
WhatsApp
Token Codificado (Pega tu JWT o JWS) 0 chars
Supports RFC 7515 JWS Compact Serialization & Bearer Tokens 100% Offline
Header Payload Signature
Estado y Expiración del Token Awaiting Input

Paste a token or click a sample button to inspect its claims.

Encabezado: Algoritmo y Tipo (JOSE) 
{"alg": "none"}
Payload: Datos y Claims 
{}

Desglose de Claims Estándar

0 claims
No standard claims parsed yet.
Las herramientas principales procesan datos localmente. La IA opcional envía el fragmento seleccionado a través de Cloudflare a Cloudflare AI o el respaldo opcional de Google Gemini tras tu consentimiento; se aplican las políticas de retención del proveedor. El formulario de contacto envía tus datos a nuestro proveedor de correo. El uso sin conexión requiere que la página y sus recursos terminen de almacenarse; la IA externa y el envío de mensajes requieren internet. Core operation in browser memory
Local browser processing

Decodificar un JWT o JWS sin clave secreta

  1. Pega un token firmado de tres partes o carga un ejemplo. El encabezado y el payload usan Base64URL y se leen sin una clave secreta.
  2. Revisa el algoritmo y claims como exp, iss y aud. No confíes en ellos hasta comprobar la firma y los requisitos de la aplicación.
  3. Para comprobar autenticidad, abre el verificador de firmas y usa el algoritmo previsto y una clave de confianza. Decodificar no autentica.

Qué significa el resultado

Este decodificador no descifra tokens JWE de cinco partes. Un token caducado o falsificado puede decodificarse; leer sus claims no concede acceso.

Leer la guía práctica Verificar la firma RFC 7515: JSON Web Signature
JWT Diagnostics

Depurador de Errores JWT — Diagnostique y Corrija Fallos Comunes

Los 5 errores de JSON Web Token más buscados. Haga clic en "Probar en Decodificador" para inspeccionar las claims y el estado del token.

TokenExpiredError: jwt expired

TokenExpiredError: jwt expired / "exp" timestamp is in the past
Causa Raíz

The exp (expiration time) claim in the token payload represents a Unix epoch timestamp that has already elapsed compared to current server time.

❌ Token con Error
Payload: { "sub": "12345", "name": "Alex", "exp": 1516239022 }
Status: EXPIRED (2018-01-18T01:30:22Z)
✅ Token Corregido
Payload: { "sub": "12345", "name": "Alex", "exp": 1893456000 }
Status: ACTIVE (Valid through 2030-01-01)

Solución: Request a fresh token using your refresh token endpoint, or check clock synchronization (NTP) between identity provider and API server.

JsonWebTokenError: invalid signature

JsonWebTokenError: invalid signature / cryptographic verification failed
Causa Raíz

The signature segment was computed with a different secret or private key, or the payload/header was modified in transit after signing, altering the HMAC/RSA digest.

❌ Token con Error
Header.Payload.TAMPERED_OR_WRONG_SECRET_SIGNATURE
Digest mismatch: Computed HMAC !== Received HMAC
✅ Token Corregido
Header.Payload.VALID_VERIFIED_SIGNATURE
Digest matches: HMAC-SHA256(header.payload, SECRET)

Solución: Ensure the API server uses the exact same secret key or public key (RS256) as the authentication server, and never alter payload bytes after signing.

JsonWebTokenError: jwt malformed (Segment Count)

JsonWebTokenError: jwt malformed / Expected 3 dot-separated segments
Causa Raíz

RFC 7519 compact JWTs must consist of exactly 3 parts separated by periods: Header.Payload.Signature. Pasting the "Bearer " prefix or omitting a section breaks the parser.

❌ Token con Error
Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIn0
(Has "Bearer " prefix and missing 3rd signature segment)
✅ Token Corregido
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIn0.Xp8sK2_9aB07R_8X9vU3L0x_6YpM5NqD9kM0wP8a1b2
(Clean 3-segment compact serialization)

Solución: Strip the "Bearer " header prefix using token.replace(/^Bearer\s+/, "") before decoding, and confirm all 3 segments exist.

Base64Url Illegal Character / Whitespace

TypeError: Failed to execute "atob" / The string contains invalid base64 characters
Causa Raíz

JWT uses RFC 4648 URL-safe base64 (- instead of +, _ instead of /, no = padding). Extra whitespace, newlines, or standard base64 characters cause decoding exceptions.

❌ Token con Error
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 .eyJzdWIi... (Embedded whitespace before period)
✅ Token Corregido
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIi... (Sanitized URL-safe base64 string)

Solución: Trim trailing spaces and newlines using token.trim(). Replace + with - and / with _ before base64 decoding.

Algorithm None Vulnerability (alg: "none")

SecurityException: Algorithm "none" is rejected in production mode
Causa Raíz

Attackers forge tokens by specifying "alg": "none" in the header and omitting the signature. Insecure parsers that do not enforce algorithms accept unsigned forged payloads.

❌ Token con Error
Header: { "alg": "none", "typ": "JWT" }
Signature: (empty / unsigned bypass attempt)
✅ Token Corregido
Header: { "alg": "HS256", "typ": "JWT" } or { "alg": "RS256", "typ": "JWT" }
Enforced cryptographic signature verification

Solución: Always enforce strict algorithm whitelisting in your JWT verification middleware: algorithms: ["HS256", "RS256"]. Never permit alg: "none".

Guía Técnica de Ingeniería

¿Necesitas ejemplos de código? Aprende a decodificar tokens JWT sin clave secreta en Node.js, Python y Go

Leer Tutorial Completo
Preguntas Frecuentes (FAQ) · Decodificador JWT y JWS (RFC 7515 Compact Parser)

Decodificador JWT — Guía Técnica RFC 7519 para JSON Web Tokens

Decodifica, inspecciona y valida JSON Web Tokens en tu navegador según RFC 7519.

MU
Arquitecto de Herramientas y Maximo
Referencia técnica

01. JSON Web Tokens: Estructura RFC 7519 y Claims

Un JWT definido en RFC 7519 consta de tres partes codificadas en Base64URL separadas por puntos: Cabecera, Payload y Firma. La cabecera especifica el tipo de token y el algoritmo de firma.

El payload contiene claims registrados en RFC 7519: iss, sub, aud, exp, nbf, iat y jti. El ataque "alg: none" ocurre cuando una biblioteca acepta tokens con algoritmo "none", evitando la verificación de firma.

  • Claims RFC 7519: iss, sub, aud, exp, nbf, iat, jti — campos de interoperabilidad estándar.
  • Soporte de algoritmos: HS256/384/512 (HMAC), RS256/384/512 (RSA), ES256/384/512 (ECDSA).
  • Detección de expiración: claim exp comparado con UTC actual.

Preguntas Frecuentes (FAQ)

¿Mis tokens JWT se envían a tus servidores?

Nunca. Decodificación y verificación se ejecutan completamente en la memoria de tu navegador.

¿Mis datos confidenciales se envían a servidores externos al usar Decodificador JWT y JWS (RFC 7515 Compact Parser)?

No. El procesamiento principal en Decodificador JWT y JWS (RFC 7515 Compact Parser) se ejecuta en la memoria volátil del navegador sin subidas a servidores. Las funciones asistidas por la nube opcionales requieren consentimiento previo.

¿Puedo utilizar Decodificador JWT y JWS (RFC 7515 Compact Parser) sin conexión activa a Internet?

El uso sin conexión requiere que la página y los recursos de la herramienta terminen de almacenarse en caché. Las transformaciones básicas funcionan localmente; la IA opcional y el contacto requieren internet.

¿Decodificador JWT y JWS (RFC 7515 Compact Parser) es gratuito y tiene límites de uso?

Las herramientas básicas son gratuitas y no requieren una cuenta. Se aplican límites de memoria y de seguridad de cada herramienta. La IA opcional y los servicios de contacto tienen límites de uso.

Herramientas Relacionadas

Optimiza tu flujo de trabajo con utilidades complementarias 100% privadas en tu navegador.

Desarrollo UTF-8 Seguro

Codificador Base64 y Hex

Codifica y decodifica Base64, Hexadecimal y texto seguro para UTF-8 de forma bidireccional y privada sin enviar datos al servidor.

Abrir Herramienta
Seguridad Web Crypto + JS

Generador de Hashes

Calcula hashes criptográficos MD5, SHA-256 y SHA-512 con comparación en tiempo real de sumas de verificación para verificar la integridad.

Abrir Herramienta
Desarrollo Multi-Lenguaje

Conversor de Comandos cURL

Convierte comandos cURL complejos en fragmentos de código nativos para Fetch, Axios, Python Requests, Go y Node.js al instante.

Abrir Herramienta
Desarrollo Popular

Formateador y Validador JSON

Formatea, valida y minifica datos JSON con detección instantánea de sintaxis, resaltado visual de errores y procesamiento 100% privado en el navegador.

Abrir Herramienta
Seguridad Web Crypto

Generador de Firmas HMAC

Genera firmas criptográficas HMAC con SHA-256 y SHA-512 usando la API nativa Web Crypto del navegador para autenticar peticiones API.

Abrir Herramienta
Seguridad y PKI 100% en Navegador

Decodificador de Certificados X.509 y CSR Offline

Inspecciona y decodifica certificados SSL/TLS y solicitudes CSR (.pem, .crt, .cer) en la memoria de tu navegador sin enviar datos al exterior.

Abrir Herramienta
Explorar el directorio de herramientas