Monu Tools

Descodificador JWT

Descodifica un JSON Web Token per inspeccionar la capçalera i el payload, amb hores d'emissió i caducitat llegibles. S'executa completament al teu navegador; els tokens no es pugen mai.

Com fer servir Descodificador JWT

  1. 01

    Enganxa un JWT amb la forma capçalera.payload.signatura.

  2. 02

    Llegeix la capçalera i el payload descodificats com a JSON formatat.

  3. 03

    Comprova les hores de caducitat i d'emissió, i si el token ha caducat.

Preguntes freqüents

Verifica la signatura?

No. It decodes and displays the header and payload. Verifying the signature needs the signing secret or public key, which you should not paste into any web tool.

Quina és la diferència entre descodificar i verificar?

Decoding reads the Base64url header and payload, which are not encrypted. Verifying recomputes the signature with the key to prove the token is authentic and unmodified.

És segur enganxar el meu token aquí?

Decoding happens entirely in your browser, so the token is not uploaded. Still, treat live tokens as secrets and avoid pasting them on shared computers.

Què signifiquen exp, iat i nbf?

They are standard claims: iat is issued-at, nbf is not-valid-before, and exp is the expiry time. The decoder converts these Unix timestamps to readable local time.

Puc descodificar un token caducat?

Yes. Expiry does not change how a token is decoded, so you can inspect an expired token's claims and see exactly when it lapsed.

Per què el meu payload és llegible sense una clau?

A JWT is signed, not encrypted. The payload is only Base64url-encoded, so anyone can read it. Never put secrets in a JWT payload.

Sobre aquesta eina

Un JSON Web Token té tres parts separades per punts: una capçalera codificada en Base64url, un payload codificat en Base64url i una signatura. Aquest descodificador separa i descodifica les dues primeres parts a l'instant al teu navegador, i el token no surt mai del teu dispositiu.

L'ús més habitual és inspeccionar un token que ha retornat una API: qui l'ha emès (iss), quan caduca (exp), quins permisos porta (scope o rols) i si ja ha caducat. La caducitat es mostra en hora local llegible, no com un timestamp Unix en brut, de manera que veus d'un cop d'ull si el token és encara vàlid.

Nota: aquesta eina descodifica i mostra, no verifica la signatura contra una clau secreta. Per a la verificació de la signatura necessites el secret de signatura o la clau pública, que no s'haurien d'introduir mai en una eina basada en navegador.

Eines relacionades