Hashes SHA-1, SHA-256, SHA-512 y decodificador JWT
Calcula la huella digital (hash) de cualquier texto con los algoritmos SHA-1, SHA-256 y SHA-512, y decodifica tokens JWT para leer su encabezado y su contenido. Todo se hace en tu navegador: nada se envía a ningún servidor.
Hashes del texto
Decodificar un JWT
Decodifica sin verificar la firma: el contenido de un JWT lo puede leer cualquiera, así que nunca confíes en sus datos sin validarlo en tu servidor.
Contenido del JWT
Cómo se calcula
Un hash convierte cualquier texto en una huella de longitud fija: SHA-1 produce 160 bits (40 caracteres hexadecimales), SHA-256 produce 256 bits (64 caracteres) y SHA-512, 512 bits (128 caracteres). Cambiar una sola letra del texto cambia la huella por completo, y no se puede reconstruir el texto desde la huella. Se usan para comprobar integridad de archivos y documentos. Para contraseñas no uses SHA «a pelo»: hace falta un algoritmo lento con sal, como bcrypt o Argon2.
Un JWT (JSON Web Token) son tres partes separadas por puntos: encabezado.contenido.firma. Las dos primeras son JSON codificado en Base64 URL, legible por cualquiera; la firma es lo único que protege contra manipulaciones, y verificarla requiere la clave del servidor. Por eso esta herramienta decodifica sin verificar la firma: sirve para inspeccionar y depurar, nunca para dar por buenos los datos.
Ejemplo: el hash SHA-256 del texto «abc» es ba7816bf…20015ad, un valor de referencia usado en toda la documentación técnica.
Preguntas frecuentes
¿Para qué sirve comparar hashes?
Para verificar que un archivo o texto no ha cambiado: si el hash de tu copia coincide con el que publicó el autor, el contenido es íntegro. Una sola letra distinta produce un hash completamente distinto.
¿SHA-1 sigue siendo seguro?
Para comprobar descargas sin adversario sigue viéndose, pero está roto frente a ataques de colisión desde 2017: no lo uses para firmas ni seguridad. SHA-256 es el estándar actual recomendado.
¿Puedo guardar contraseñas con SHA-256?
No directamente: los SHA son rapidísimos y un atacante puede probar millones de contraseñas por segundo. Las contraseñas se guardan con algoritmos lentos y con sal única por usuario (bcrypt, scrypt o Argon2).
¿Es peligroso pegar mi JWT aquí?
Esta página decodifica en tu propio navegador, sin enviar el token a ningún servidor (puedes comprobarlo desconectando internet). Aun así, por higiene, evita pegar tokens de producción en herramientas que no conozcas: su contenido lo lee cualquiera que lo tenga.