Decodificador de JWT

Un JSON Web Token es tres segmentos codificados en Base64URL unidos por puntos: una cabecera que describe el algoritmo de firma y el tipo de token, un payload que contiene los claims reales — a quién identifica el token, cuándo expira, qué permisos otorga — y una firma calculada sobre los dos primeros segmentos usando un secreto o clave privada. Decodificar, que es lo que hace esta herramienta, significa decodificar en Base64URL los dos primeros segmentos de vuelta a JSON legible; no dice nada sobre el tercer segmento más allá de exponer su valor codificado crudo, porque verificar esa firma requiere el secreto de firma real, que una herramienta basada en navegador nunca debería pedirte que pegues.

Esta distinción — decodificar frente a verificar — es lo único más importante que entender sobre una herramienta de depuración de JWT. Decodificar te dice lo que *afirma* un token; verificar te dice si esas afirmaciones se pueden *confiar*, confirmando que la firma fue producida por el emisor esperado. Un token puede decodificarse perfectamente y mostrar un payload que afirma acceso de administrador siendo completamente falsificado, si nada comprueba nunca la firma contra la clave de firma real.

La cabecera y el payload están codificados, no cifrados — Base64URL es una transformación reversible sin ningún secreto involucrado, así que cualquiera que obtenga un token, ya sea interceptando tráfico de red, leyendo el almacenamiento del navegador, o recibiéndolo directamente, puede decodificar el payload y leer cada claim dentro de él sin necesitar ninguna clave en absoluto. Esta es precisamente la razón por la que el consejo estándar es mantener los payloads de JWT limitados a identificadores y claims no sensibles — un ID de usuario, un rol, un tiempo de expiración — y nunca colocar una contraseña, un número de tarjeta de crédito, u otro dato confidencial directamente dentro del token, porque el formato del token no proporciona ninguna confidencialidad por sí solo.

Los claims de timestamp estándar se almacenan como tiempo Unix — un entero simple que cuenta segundos desde el 1 de enero de 1970 — que es eficiente para que las máquinas comparen pero ilegible de un vistazo para una persona que depura un token a simple vista. Convertir `1735689600` en "1 de enero de 2025, 00:00:00 UTC" a mano es exactamente el tipo de aritmética pequeña y propensa a errores que es fácil equivocar bajo presión de tiempo, particularmente entre zonas horarias. Renderizar los tres claims como fechas locales reales, y declarar directamente si el token está actualmente expirado, es válido, o aún no está activo, convierte una sesión de depuración que de otro modo implicaría un cálculo secundario en una respuesta inmediata y legible.