Qué muestra un decodificador JWT
Un JSON Web Token firmado en formato compacto suele tener tres partes separadas por puntos: cabecera, carga de datos y firma. Este decodificador interpreta como JSON UTF-8 los dos primeros segmentos codificados en Base64url para que puedas leer las afirmaciones del token. La tercera parte no se verifica aquí. Decodificar un dato reversible no demuestra quién emitió el token, que no fue alterado ni que el servidor vaya a aceptarlo. La cabecera puede indicar el algoritmo; la carga puede incluir emisor, destinatario, sujeto y campos propios de la aplicación. Trata esos datos como información no confiable hasta que un verificador aplique las reglas correspondientes. El token introducido se procesa en el navegador.
Interpretar exp, nbf e iat
Las marcas de tiempo JWT como exp, nbf e iat utilizan NumericDate: segundos desde el inicio de la época Unix. Un valor de 2.000.000.000 representa segundos, no milisegundos. La herramienta muestra la fecha UTC legible junto al número original para ayudarte a investigar un token caducado, todavía no válido o expedido en un momento inesperado. Esa fecha representa lo que afirma la carga, no una confirmación de validez. Pega el token de ejemplo y compara exp con la fecha indicada. Si el productor escribió por error un número de trece cifras en milisegundos, la fecha resultará inverosímil o estará fuera de un intervalo útil. Corrige el origen de los datos; no ajustes la cifra a ciegas. Usa UTC al contrastarla con registros de servidor.
Flujo de trabajo para depurar
Toma un token de prueba de un entorno de desarrollo controlado y revisa si contiene el emisor, la audiencia y el sujeto esperados. Compara exp y nbf con la hora en que falló la solicitud. Si la carga parece correcta pero el servidor rechaza el token, examina la verificación de firma, la clave seleccionada y la política del servidor. El decodificador no puede decidir si la aplicación lo aceptará. Recuerda que la carga está codificada, no cifrada: cualquiera que posea el token puede leer nombres u otros datos privados. Evita pegar credenciales reales en informes públicos, capturas, direcciones URL o ejemplos compartidos. Aunque el procesamiento de esta página es local, copiar el resultado sigue siendo una decisión de divulgación.
Límites y errores habituales
Un JWE cifrado de cinco partes no es un JWT firmado de tres partes y queda fuera de esta herramienta. Los segmentos Base64url mal formados, el texto UTF-8 no válido y una cabecera JSON que no sea un objeto se rechazan en lugar de repararse silenciosamente. La página tampoco descarga claves, verifica firmas JWS, limita algoritmos permitidos, compara una audiencia prevista ni aplica márgenes de reloj. Para ello se necesita una biblioteca de validación configurada correctamente. No concedas autorización por ver un rol admin en una carga decodificada: un token modificado puede mostrarlo con firma inválida. Tampoco basta con una fecha exp futura; emisor, audiencia, revocación y políticas adicionales pueden causar rechazo. Usa este resultado para entender la estructura, no para tomar decisiones de confianza.