Por qué importa dónde se decodifica un token
Un JWT de producción es una credencial viva. Cuando lo pegas en un decodificador que lo envía a un servidor, estás compartiendo una sesión válida con un tercero, y en muchos equipos ese gesto ocurre a diario durante la depuración. Esta herramienta hace la decodificación con JavaScript en tu pestaña: puedes cortar la red y seguir usándola.
Decodificar no es validar
Esta herramienta lee las dos primeras partes del token y las muestra como JSON. No comprueba la firma, y es importante que lo sepas: un payload legible no significa que el token sea auténtico. La verificación exige la clave secreta o la pública del emisor, y esa comprobación pertenece a tu backend, no a una web.
Las reclamaciones que revisas más veces
`exp` es la caducidad en segundos Unix y explica la mayoría de los 401 inesperados. `iat` dice cuándo se emitió. `iss` y `aud` deciden si el token es siquiera para tu servicio. `alg` en el encabezado merece una mirada: un token que llega con `alg: none` es una señal de alarma, no una curiosidad.
Un JWT no es un lugar donde guardar secretos
Las tres partes van en Base64url, que es codificación sin clave. Cualquiera que intercepte el token lee su contenido íntegro con esta misma herramienta. La firma garantiza que nadie lo ha modificado, no que nadie pueda leerlo. Si hay un dato que no puede ver el cliente, no va en el payload.