CiberDecodificador JWT
Lee, verifica y audita tus tokens.
Pega un JWT y te explicamos qué dice, si la firma es válida y qué fallos de seguridad tiene. El token no sale de tu navegador.
Token
Un JWT firmado no está cifrado: cualquiera que lo tenga puede leer su contenido. No pegues tokens de producción en webs que los envíen a un servidor; esta no lo hace.
Cabecera
Contenido
Qué dice
| Claim | Significado | Valor |
|---|
Revisión de seguridad
Verificar la firma
¿Usa un secreto típico?
Probamos el token contra más de 130 secretos de tutoriales y valores por defecto («secret», «your-256-bit-secret», «changeme»…). Puedes añadir los tuyos, uno por línea. Hazlo solo con tokens de tus sistemas.
Token de prueba
Para probar tu API en desarrollo. Se firma con HMAC; los tokens RS/ES los firma tu proveedor de identidad con su clave privada.
Siguiente nivel: tokens filtrados en tus logs
Descargar scriptScript en Python sin dependencias que audita tokens, prueba secretos típicos y busca JWT en logs, volcados HAR y ficheros .env. Un token en un log equivale a una contraseña. Devuelve 2 si hay hallazgos críticos, así que sirve en CI. Úsalo solo en sistemas propios o autorizados.
python jwt_auditar.py eyJhbGciOi...
python jwt_auditar.py --buscar /var/log/nginx app.har --json informe.json
python jwt_auditar.py eyJ... --secretos secretos-empresa.txt