Decodificar un JWT

Qué se comprueba y qué solo se lee

Todo en esta página, salvo dos comparaciones de fechas, es transcripción. El encabezado y el payload se decodifican desde Base64URL y se muestran; la firma se copia tal cual y nunca se toca, porque aquí no hay ninguna clave y no se ejecuta ninguna criptografía. Los dos juicios que sí hace la página son aritmética contra el reloj de tu propio dispositivo: la claim de expiración comparada con el momento actual, y la claim de no antes de comparada con el momento actual. No se deja margen para el desfase de reloj, cuando un servidor que comprueba el mismo token normalmente admite uno o dos minutos. Una laptop que va cinco minutos adelantada te mostrará como vencido un token vigente, y el token estará perfectamente bien.

Dos detalles del análisis deciden lo que ves en realidad. Las claims de tiempo se leen solo cuando llegan como números JSON: un token cuya expiración se escribió como la cadena “1699999999” se trata como si no tuviera expiración, y recibe el aviso de que nunca expira por sí solo, justo lo contrario de la verdad. Y el payload se analiza con el analizador JSON propio del navegador, no con el que conserva los dígitos detrás de nuestras herramientas de JSON, así que una claim numérica de 64 bits, como un ID de usuario tipo snowflake en el sujeto, se muestra con los últimos dígitos redondeados. Los identificadores de un JWT suelen ser cadenas justamente por eso; cuando uno no lo es, léelo del payload sin procesar y no de la tabla de claims.

Un token con cinco secciones se rechaza como JWE cifrado, y ese juicio se basa solo en la cantidad de secciones, sin leer el encabezado: acierta en la práctica, y conviene saber que es un atajo. Todo lo que no tenga tres secciones se rechaza directamente, igual que un payload que se decodifica como un array JSON o una cadena suelta en lugar de un objeto. Se muestran avisos para el algoritmo “none” y para la familia HS, donde la clave de firma es un secreto compartido y no una clave pública. Los tokens firmados con RS, ES o PS no generan ningún aviso, así que el silencio de esta página significa que no hay ninguna forma conocida como problemática, no que el token esté aprobado.

Si buscas otra cosa

Aquí no se guarda nada, que es la única razón por la que esta página puede existir razonablemente, y aun así no es el hábito que conviene formar. Una afirmación sobre privacidad no se comprueba leyéndola: desconéctate después de que cargue la página y mira cómo el decodificador sigue funcionando, que es precisamente lo que no puede hacer una herramienta con un servidor detrás. Y si un token que pegaste en algún lugar que no puedes auditar sigue siendo válido, cámbialo en lugar de darle vueltas. Cambiarlo es un minuto de trabajo. La alternativa es una larga discusión contigo mismo sobre una credencial que todavía abre la puerta. Para leer un token en tu computadora en lugar de en una pestaña, el payload es una línea de shell: corta el segundo campo separado por puntos, pásalo por base64 -d y luego por jq.

Cuando la pregunta es si un token es auténtico y no qué dice, esta es la página equivocada por diseño, igual que cualquier otro decodificador en línea. La verificación va donde ya está la clave: la biblioteca de JWT de tu propio lenguaje, en tu servidor, comprobando contra el JWKS publicado por el emisor. Son unas pocas líneas, es la única respuesta que significa algo, y cualquier sitio que se ofrezca a hacerlo por ti te está pidiendo el único secreto que nunca deberías darle a un sitio web.