Tu aplicación web devuelve un error 401 Unauthorized o 403 Forbidden y necesitas inspeccionar qué roles de usuario, permisos o fecha de expiración viajan en el token sin exponer tus credenciales de producción en sitios públicos.
Transparencia Radical DataKorex: Desglosamos y decodificamos tokens JWT del lado del cliente en tu navegador ($0). Visualiza Header, Payload, claims y fechas unix convertidas a horario local sin enviar el token por internet.
¿Cómo usar Decodificar JWT paso a paso?
- 1. Pega tu token JWT: Pega la cadena codificada de tres segmentos separados por puntos (Header.Payload.Signature).
- 2. Revisa claims y fechas de expiración: Visualiza el payload JSON formateado con fecha legible humana de expiración (exp) y emisión (iat).
- 3. Copia el payload desglosado: Copia el JSON limpio con un clic para tus pruebas de desarrollo o depuración de sesiones.
La Cuenta de Movimientos: Método Tradicional vs. KorexTools
Usar depuradores web convencionales en la nube (4 riesgos graves)
- Enviar tokens de producción con sesiones reales a servidores de terceros.
- Tener que calcular manualmente en qué fecha expira un número unix como 1745678900.
- Sufrir lentitud o interfaces recargadas para consultar un simple campo de usuario.
- Exponer secretos o claims de infraestructura a herramientas que almacenan historial.
Con Decodificador JWT en KorexTools (3 pasos en 1 segundo)
- Pegas tu token JWT en el área de entrada superior.
- Revisas los claims de usuario, roles y la fecha de expiración ya calculada.
- Copias el payload JSON formateado para tus pruebas de desarrollo.
El riesgo de seguridad de pegar tokens JWT de producción en depuradores online
Un JSON Web Token (JWT) suele contener identificadores de usuario, roles de administrador, permisos de acceso a bases de datos y correos corporativos. Pegar tokens reales de producción en sitios web tradicionales expone tus credenciales a scripts de rastreo de terceros.
El decodificador JWT de KorexTools funciona 100% del lado del cliente. Separa la cadena Base64Url en sus tres componentes y decodifica los segmentos directamente en tu navegador, garantizando que el token jamás viaje por la red.
Herramientas de depuración integradas
- Conversión automática de unix timestamps (`exp`, `iat`, `nbf`) a fecha y hora humana.
- Detección visual de estado de expiración (indica si el token ya caducó o sigue vigente).
- Resaltado tipográfico por colores: Rojo (Header), Púrpura (Payload) y Cian (Firma).
El factor de seguridad: ¿Por qué decodificar no requiere la clave secreta?
Un error común es creer que para ver el contenido de un JWT se necesita la clave secreta. El Header y el Payload están codificados en Base64Url público; la clave solo sirve para validar que la firma no fue alterada por terceros. Por eso, inspeccionar el contenido en un entorno privado local es indispensable.
Comparativa: Depuradores JWT en la Nube vs. KorexTools Local
| Aspecto | Depuradores Web Convencionales | KorexTools JWT Decoder |
|---|---|---|
| Privacidad del Token | Expuesto a servidores y analítica web | 100% en memoria RAM local ($0 fuga) |
| Fechas de Expiración | A menudo muestra solo el número epoch | Traducido automáticamente a fecha humana |
| Coste y Registro | Pide inicio de sesión para funciones pro | 100% Gratis sin registro para siempre |
Lo que Decodificador JWT NO resuelve (Transparencia Radical)
- No valida criptográficamente la firma con la clave privada si no se proporciona.
- No renueva ni refresca sesiones caducadas (eso lo gestiona tu servidor de autenticación).
- No genera nuevos tokens firmados.
Riesgos de Privacidad y Errores Comunes que Debes Evitar
Nuestra herramienta procesa el token de forma completamente efímera. Al cerrar o recargar la pestaña, el token desaparece de la memoria sin dejar rastro.
- Guardar información confidencial sin cifrar (como contraseñas) dentro de los claims de un JWT.
- Ignorar que el reloj del cliente debe estar sincronizado para verificar el claim exp correctamente.
Preguntas Frecuentes
¿Puedo verificar la firma sin compartir la clave secreta?
Sí. Nuestra herramienta desglosa la firma criptográfica para inspección sin requerir que introduzcas tu clave privada.
¿Qué significa cuando el token muestra el badge "Expirado"?
Significa que la marca de tiempo del claim exp es menor a la hora actual de tu ordenador, por lo que las APIs rechazarán la petición con un error 401.
Lo que haría yo si estuviera en tu lugar
«Verifica siempre el claim exp antes de depurar permisos en tus endpoints; el 80% de los errores 401 inexplicables ocurren porque el token expiró hace dos minutos.» — Equipo de Ingeniería DataKorex.