JSON Web Token (JWT) es un estándar para transmitir información de forma compacta y segura entre partes. Se usa habitualmente para autenticación en aplicaciones web y APIs REST.

¿Qué partes tiene un JWT?

Un JWT tiene tres partes separadas por puntos: header (algoritmo de firma), payload (datos) y signature (firma de verificación). El payload está codificado en Base64, no cifrado.

No por defecto. Los JWT estándar (JWS) solo están firmados, no cifrados. El payload es legible por cualquiera que tenga el token. Para datos sensibles existe JWE (JWT cifrado).

¿Es seguro decodificar un JWT online?

Con esta herramienta sí, porque todo ocurre en tu navegador sin enviar datos al servidor. Nunca envíes un JWT de producción a servicios de terceros desconocidos.

Decodificador de JWT online — Sergio Comerón

Token JWT

Esta herramienta decodifica el token pero no verifica la firma. Para verificar la firma necesitas la clave secreta o la clave pública. Nunca pegues tokens de producción en herramientas de terceros. This tool decodes the token but does not verify the signature. To verify the signature you need the secret key or public key. Never paste production tokens into third-party tools.

Qué es un JWT y cómo funcionaWhat is a JWT and how does it work

Un JSON Web Token (JWT) es un estándar abierto (RFC 7519) para transmitir información entre partes de forma compacta y verificable. Se compone de tres partes separadas por puntos: header.payload.signature.

A JSON Web Token (JWT) is an open standard (RFC 7519) for transmitting information between parties in a compact and verifiable way. It consists of three parts separated by dots: header.payload.signature.

El header indica el algoritmo de firma (alg) y el tipo de token (typ). El payload contiene los claims — datos sobre el usuario o la sesión — como sub (sujeto), iat (emitido en), exp (expiración) o cualquier campo personalizado. La firma garantiza que el token no ha sido modificado.

The header indicates the signing algorithm (alg) and token type (typ). The payload contains the claims — data about the user or session — such as sub (subject), iat (issued at), exp (expiration) or any custom field. The signature ensures the token has not been tampered with.

Las partes header y payload son solo Base64URL, no están cifradas — cualquiera puede leerlas. Por eso nunca debes incluir información sensible en el payload sin cifrado adicional.

The header and payload parts are just Base64URL, they are not encrypted — anyone can read them. That is why you should never include sensitive information in the payload without additional encryption.

Más herramientasMore tools

Base64 Calculadora de hashHash calculator Generador de contraseñasPassword generator Formateador JSONJSON formatter Compartir secretoShare a secret Conversor de timestampTimestamp converter Datos falsos españolesSpanish fake data Generador de QRQR generator