Decodifique cualquier JWT, verifique su firma y firme tokens nuevos, todo en su navegador
Se ejecuta en su navegador. Nada de lo que escribe se envía a ningún sitio.Un JWT lleva sus claims a la vista, así que cualquiera que tenga el token puede leerlos, porque Base64 es una codificación y no un cifrado. Esta herramienta decodifica las 3 partes, muestra la caducidad y verifica o firma un token con HS256, RS256 o ES256. El token nunca sale de su navegador.
Esta página se ha traducido automáticamente del original en inglés. Ninguna persona ha revisado todavía la traducción, así que la versión en inglés es la que debe consultar. Leer el original en inglés
En la pestaña "Decodificar y verificar", pegue el token en el cuadro Token codificado.
Lea los paneles Encabezado, Payload y Claims explicados que aparecen al lado.
Escriba el secreto, o la clave pública en PEM o JWK, en el campo de la clave y pulse Verificar.
Lea el resultado: "Firma verificada" o "Firma no válida".
Para crear un token de prueba, abra "Codificar y firmar", elija el Algoritmo y la caducidad, añada una clave y pulse Firmar token.
Este decodificador de JWT lee cualquier JSON Web Token y muestra su encabezado, su payload y su firma como tres partes con colores a juego. Cada claim estándar recibe una línea en lenguaje claro, la caducidad se convierte en una fecha real con una insignia de "válido" o "caducado", y puede verificar la firma con HS256, HS384, HS512, RS256 o ES256.
Se usa cuando un inicio de sesión falla de repente y hay que saber si el token caducó o se emitió para otra audiencia. También es la forma más rápida de ver qué pone de verdad una API de terceros dentro de sus tokens de acceso antes de escribir código que dependa de un claim. La pestaña de codificación cubre la dirección contraria: cuando está creando un flujo de autenticación y necesita un token con un sujeto, un alcance y una caducidad concretos para probar su propio servicio, puede editar el JSON, elegir un algoritmo, fijar la caducidad y firmarlo con un secreto o con un par de claves de prueba generado.
Todo se ejecuta en su navegador con la API WebCrypto. Los tokens, secretos y claves nunca se envían a ningún sitio ni se guardan, así que es seguro pegar tokens reales. Firmar aquí sirve para probar sistemas propios; los tokens de producción deben venir de su servidor de autenticación, con una clave que solo él tenga.
Pulse Ctrl+Enter para verificar o firmar. La herramienta Base64 decodifica un segmento a mano, y Password Generator crea un secreto aleatorio para HS256.
Sí. La decodificación y la verificación se ejecutan en su navegador con JavaScript y la API WebCrypto. El token, el secreto y cualquier clave que introduzca nunca salen de la página ni se guardan, así que un token de producción sigue siendo privado. Aun así, trate cualquier token que pegue en cualquier sitio como algo que conviene rotar si es de larga duración.
Un JWT está firmado, no cifrado. El encabezado y el payload son JSON simple codificado en Base64URL, así que cualquiera que tenga el token puede leerlos. El secreto o la clave solo hacen falta para comprobar la firma, que demuestra que el token lo emitió quien tiene esa clave y que no se ha modificado.
Pegue el token, elija el algoritmo del encabezado (normalmente HS256 o RS256), introduzca el secreto compartido para los algoritmos HS o la clave pública PEM o JWK para RS256 y ES256, y pulse Verificar o Ctrl+Enter. Una insignia verde significa que la firma coincide; una roja, que la clave es incorrecta o que el token se modificó.
Mire la insignia junto a Claims explicados. Indica Válido hasta una fecha cuando el claim exp está en el futuro, Caducado y hace cuánto en caso contrario, y No válido hasta cuando un claim nbf todavía no ha llegado. Los claims exp, iat y nbf también se muestran como fechas reales con tiempos relativos.
Sí. Abra la pestaña Codificar y firmar, edite el JSON del encabezado y del payload, elija HS256, HS384, HS512, RS256 o ES256, escoja una caducidad predefinida como 1 hora o 30 días y firme con un secreto o una clave privada. Generar par de claves de prueba crea un par de claves PEM en el navegador para RS256 o ES256.
HS256, HS384 y HS512 con un secreto compartido, y RS256 y ES256 con un par de claves. Los tokens con otros algoritmos se siguen decodificando y muestran sus claims; solo la verificación de la firma está limitada a estos cinco.
¿Sigue sin resolverlo? Pregunte sobre Decodificador, verificador y codificador de JWT y cualquiera que lo sepa puede responder. No se necesita cuenta.