Herramientas de Desarrollo
Depurador JWT e Inspector de Tokens
100% en el cliente. Tus tokens y claves secretas nunca se envían a ningún servidor.{
"alg": "HS256",
"typ": "JWT",
"kid": "auth0-key-1"
}{
"iss": "https://auth.devsload.com/",
"sub": "usr_89f0a21d",
"aud": [
"https://api.devsload.com/v1",
"https://devsload.com"
],
"iat": 1792761383,
"exp": 1792768883,
"nbf": 1792761383,
"name": "Alex Mercer",
"email": "alex.mercer@example.com",
"roles": [
"developer",
"admin"
],
"scope": "read:profile write:projects delete:cache"
}Desglose de Claims Estándar
Claims estándar RFC 7519 detectados en la carga útil
| Claim | Definición | Valor e Interpretación |
|---|---|---|
| expExpiration Time | Timestamp on or after which the token MUST NOT be accepted. | 1792768883 📅 Fri, 23 Oct 2026 15:21:23 GMT (2d ago) |
| iatIssued At | Timestamp at which the JWT was issued. | 1792761383 📅 Fri, 23 Oct 2026 13:16:23 GMT (3d ago) |
| nbfNot Before | Timestamp before which the token MUST NOT be accepted. | 1792761383 📅 Fri, 23 Oct 2026 13:16:23 GMT (3d ago) |
| issIssuer | Principal that issued the JWT (e.g. auth service URL). | https://auth.devsload.com/ |
| subSubject | Principal that is the subject of the JWT (e.g. user ID). | usr_89f0a21d |
| audAudience | Recipients that the JWT is intended for (e.g. client ID or API audience). | ["https://api.devsload.com/v1","https://devsload.com"] |
| namename | Custom claim payload property. | Alex Mercer |
| emailemail | Custom claim payload property. | alex.mercer@example.com |
| rolesroles | Custom claim payload property. | ["developer","admin"] |
| scopescope | Custom claim payload property. | read:profile write:projects delete:cache |
Cómo depurar y verificar un JSON Web Token
Guía práctica sobre la arquitectura y validación de tokens RFC 7519.
1. Pega o genera tu token
Pega cualquier token JWT. DevsLoad separa al instante las tres secciones delimitadas por puntos y decodifica la representación Base64URL a JSON legible.
2. Inspecciona los claims estándar y personalizados
Examina claims RFC 7519 como exp (expiración), iat (emisión), iss (emisor), sub (sujeto) y aud (audiencia) con fechas formateadas y tiempos relativos.
3. Verifica la firma con seguridad local
Introduce tu clave secreta HMAC o tu certificado público PEM. La validación se realiza completamente en tu navegador mediante Web Crypto API sin transferencias de red.
4. Exporta a tus clientes API
Usa los botones de copia rápida para transferir el token a comandos cURL o encabezados HTTP Authorization Bearer para tus pruebas de desarrollo.
Preguntas frecuentes sobre JWT
¿Qué es un JSON Web Token (JWT)?
Un JSON Web Token (RFC 7519) es un estándar compacto y seguro para URLs que permite transmitir afirmaciones de identidad entre dos partes de forma firmada digitalmente.
¿Es seguro pegar tokens confidenciales en DevsLoad?
Sí, 100%. Toda la decodificación y verificación criptográfica se realiza de forma local en tu navegador con Web Crypto API. Ningún token o clave secreta se envía a servidores.
¿Cuáles son las tres partes de un JWT?
Un token JWT consta de: 1) Encabezado (Header) con el algoritmo; 2) Carga útil (Payload) con los datos y claims; 3) Firma criptográfica para garantizar la integridad.
¿Cuál es la diferencia entre HS256 y RS256?
HS256 utiliza una clave secreta compartida (simétrica), mientras que RS256 utiliza un par de claves asimétricas (clave privada para firmar y clave pública para verificar).
¿Qué ocurre si un token supera su claim exp?
El claim exp indica la fecha límite de validez. Si el timestamp actual es superior, las APIs deben rechazar el token por haber caducado.