Herramientas para desarrolladores
Decodificador y generador JWT
Decodifica o genera JWT localmente: los secretos nunca salen de tu navegador.
Funciona localmente en tu navegador: lo que escribes no se sube.
¿Qué es esta herramienta?
Pega un JSON Web Token para ver su cabecera y su payload como JSON formateado, algo muy útil al depurar inicios de sesión, autenticación de API o sesiones caducadas. También puedes crear tokens firmados con HS256 para pruebas locales sin instalar ninguna biblioteca.
Un JWT tiene tres partes: cabecera, payload y firma. Al decodificarlo se decodifican en base64url los dos primeros segmentos para que puedas revisar los claims.
La generación crea el token localmente. HS256 usa la API Web Crypto y tu secreto solo permanece en memoria. El modo sin firmar alg «none» es solo para pruebas.
La verificación de algoritmos arbitrarios (RS256, etc.) y la gestión de claves de producción quedan fuera del alcance a propósito.
Trata los tokens y los secretos como datos sensibles. Trabaja preferiblemente solo con datos que tengas permiso para manejar.
Cómo usar Decodificador / generador JWT
- Decodificar: pega un JWT y pulsa Decodificar para ver la cabecera y el payload como JSON.
- Generar: cambia a Generar, edita el JSON de cabecera y payload, elige HS256 o none, introduce un secreto y pulsa Generar JWT.
- Recuerda: decodificar no verifica la firma. Los tokens generados son para pruebas locales.
Ejemplos
Estructura de un JWT
header.payload.signature: cada segmento es JSON codificado en base64url (salvo la firma).
Preguntas frecuentes
¿ToolForge verifica mi JWT?
No. El modo Decodificar solo decodifica. La verificación de firmas queda fuera de la V1 a propósito para no recopilar secretos.
¿Se sube mi token o mi secreto?
Nunca. La decodificación y la generación ocurren por completo en tu navegador.
¿Con qué algoritmos puedo generar?
HS256 (HMAC-SHA256) con un secreto compartido, o alg none sin firmar para pruebas locales. Los algoritmos asimétricos aún no están incluidos.
¿Cómo sé si un JWT ha caducado?
Mira el claim exp del payload decodificado. Es una marca de tiempo Unix en segundos: pégala en el conversor de marcas de tiempo para ver la fecha y hora exactas.
¿Necesitarás más potencia más adelante?
Herramientas premium, límites más altos y acceso por API están en nuestros planes. La V1 sigue siendo gratuita y privada en tu navegador.