What is the difference between decoding and verifying a JWT?

Decoding only Base64url-decodes the header and payload — it works on any well-formed token, including forged or tampered ones. Verifying recomputes the HMAC (HS256) or signature check using a secret or public key and confirms the token was actually issued by your auth server. Use the Decode tab for inspection; use the Verify tab to prove authenticity.

Can this tool verify the JWT signature?

Yes — open the Verify tab, paste the token, and provide the shared HS256 secret. The tool recomputes the HMAC-SHA256 signature in your browser using the Web Crypto API and returns valid or invalid. For RS256 or ES256 (asymmetric algorithms), verification must happen on the server with the corresponding public key.

Is my JWT or secret sent to a server?

No. Decoding, signing, and verification all happen locally via the Web Crypto API. Tokens and secrets never leave your browser — no upload, no logging, no analytics on the content.

Why does my decoded payload show numbers instead of dates?

JWT timestamps (iat, exp, nbf) are Unix timestamps — seconds since January 1, 1970 UTC. The decoder surfaces the parsed expiry above the JSON, and you can paste the raw number into the Timestamp Converter tool to read other claims.

What is the alg: none vulnerability?

Some JWT libraries trust the header's alg field to decide which algorithm to verify with. If your server accepts alg: none, an attacker can submit a forged token with no signature and have it accepted. Always pin the expected algorithm on the server side and reject none explicitly.

What's the difference between the header and payload?

The header contains the token type and signing algorithm (alg, typ). The payload contains the claims — standard fields like iss (issuer), sub (subject), aud (audience), exp (expiry), iat (issued at), nbf (not before), plus any custom data your app embeds.

Can I decode a JWT that's been modified?

Yes — any valid Base64url string decodes. That's exactly why decoding alone proves nothing. The signature is what binds the header and payload to the issuer; any change to either invalidates the signature on verify.

Should I use HS256 or RS256?

Use HS256 when the issuer and verifier share one trusted secret (single backend). Use RS256 (or ES256) when verifiers should not be able to issue tokens — the private key signs, the public key verifies. This tool covers HS256 fully; RS256 tokens decode but verification needs server-side public-key checks.

Utilidades para desarrolladores

Herramienta JWT

Decodifica, firma y verifica tokens JWT de forma local.

Tus datos se quedan en tu dispositivoSin subida, sin servidorFunciona sin conexión

Los tokens se firman localmente en tu navegador. No compartas tu clave.

Token JWT

Algoritmo

HS256

Sujeto

toolgrid

Expira el

11/12/2026, 23:00:00

Header decodificado

{
  "alg": "HS256",
  "typ": "JWT"
}

Payload decodificado

{
  "sub": "toolgrid",
  "exp": 1797030000
}

Por qué usar esta herramienta

Inspecciona claims de JWT, construye tokens firmados con HS256 y verifica firmas en el navegador.

La herramienta JWT combina decodificación, construcción y verificación en un mismo lugar.

Firma tokens con HMAC-SHA256 y verifica firmas localmente sin enviar secretos a un servidor.

Cómo usarla

01Decodificar: pega cualquier JWT para inspeccionar el encabezado y los claims del payload.

02Construir: proporciona un payload JSON y un secreto para generar un token HS256 firmado.

03Verificar: pega un token y su secreto para comprobar si la firma es válida.

Revisiones rápidas antes de copiar

Confirma que el formato de entrada es el que esperabas.

Revisa el resultado antes de usarlo en un documento, URL, configuración o mensaje.

Copia solo el resultado que necesitas.

Preguntas frecuentes

¿Se envía mi JWT a un servidor al decodificarlo?

No. La decodificación ocurre completamente en tu navegador. Los JWT de sistemas en producción se pueden pegar de forma segura.

¿Por qué las fechas del payload muestran números?

Los timestamps de JWT (iat, exp, nbf) son Unix timestamps: segundos desde el 1 de enero de 1970 UTC.

¿Cuál es la diferencia entre el encabezado y el payload?

El encabezado contiene el tipo de token y el algoritmo de firma. El payload contiene los claims: datos del usuario, permisos, expiración, etc.

Herramienta JWT

Por qué usar esta herramienta

Cómo usarla

Revisiones rápidas antes de copiar

Preguntas frecuentes

Herramientas relacionadas

Formateador JSON

Codificador / Decodificador Base64

Generador de Hash

Herramienta JWT

Formateador JSON→

Codificador / Decodificador Base64→

Generador de Hash→

Formateador JSON

Codificador / Decodificador Base64

Generador de Hash