JSON, Base64, URL, expresiones regulares, timestamps UNIX, JWT, expresiones cron y comparación de textos en una sola página. Todo se procesa en tu navegador, así que lo que pegas no sale de tu equipo.
La sangría es el efecto secundario. Lo que de verdad aporta la herramienta es decirte dónde se ha roto la sintaxis: cuando una API responde "JSON no válido" y nada más, saber en qué carácter falló el análisis suele revelar la causa al instante.
Tres motivos explican casi todos los casos: una coma final después del último elemento, las comillas simples (JSON solo admite las dobles) y los comentarios (JSON no tiene comentarios). Quien escribe JSON con la costumbre de los ficheros de configuración cae en los tres.
Ordenar las claves alfabéticamente hace que dos respuestas se puedan comparar de verdad. Los mismos datos con las claves en otro orden aparecen en un diff como si hubiera cambiado el documento entero.
Base64 codifica datos binarios como texto para que los bytes puedan viajar por canales que solo transportan caracteres, como el correo electrónico o un campo de JSON.
No interviene ninguna clave y cualquiera lo revierte al instante. Una contraseña "escondida" en Base64 es una contraseña en claro, sin matices.
Además aumenta el tamaño alrededor de un 33%: cada tres bytes se convierten en cuatro caracteres, algo que se nota mucho al incrustar imágenes o ficheros dentro del texto.
En las URL los caracteres + y / dan problemas, así que la variante base64url los sustituye por - y _. Es exactamente la que utilizan los JWT.
encodeURIComponent también escapa &, =, ? y /. Es la que debes usar en los valores de los parámetros de consulta.
encodeURI deja esos caracteres intactos porque está pensada para la URL completa, no para sus piezas.
Aplicar encodeURI a un valor hace que un & dentro de ese valor se lea como separador de parámetros y los datos se corten ahí mismo. Al revés, aplicar encodeURIComponent a una URL entera escapa el :// y el enlace deja de funcionar.
Que un espacio aparezca como %20 o como + no es una contradicción, sino contexto: lo primero en las rutas de una URL y lo segundo en el envío de formularios (application/x-www-form-urlencoded).
Un JWT son tres bloques separados por puntos: la cabecera con el algoritmo, el payload con los datos y la firma.
Los dos primeros son base64url a secas. No están cifrados y cualquiera puede leerlos, y por eso los secretos no deben viajar nunca dentro del payload aunque a simple vista parezca ilegible.
Verificar la firma exige la clave secreta o la pública. Esta herramienta solo decodifica y muestra, y lo hace a propósito: pedirte que pegues una clave de firma en una página web sería en sí mismo el problema de seguridad.
Los campos exp, iat y nbf están en segundos Unix. Convertirlos a una hora legible suele explicar un error de "token caducado" de un vistazo.
Los cinco campos son, en orden, minuto, hora, día del mes, mes y día de la semana. Así, 0 3 * * * se ejecuta cada día a las 03:00.
La trampa clásica: indicar a la vez día del mes y día de la semana produce un O, no un Y. 0 0 1 * 1 significa "el día 1 de cada mes, y además todos los lunes", no "el día 1 cuando caiga en lunes".
*/15 son quince minutos contados desde el minuto cero (0, 15, 30 y 45), no un intervalo de quince minutos a partir del momento que tú elijas.
Muchas implementaciones aceptan tanto 0 como 7 para el domingo. Comprueba cuál usa el sistema en el que vas a desplegar antes de fiarte de uno.
Confirma la zona horaria. En un servidor en UTC, 0 9 * * * no son las nueve de la mañana en España sino las diez u once, según sea invierno o verano.
En 192.168.1.0/24, el /24 indica que los primeros 24 bits identifican la red. Los 8 bits restantes dan 256 direcciones en total.
De esas, 254 son utilizables: la primera queda reservada como dirección de red y la última como dirección de difusión.
Cuanto menor es el número, mayor es el rango: /16 son 65.536 direcciones, /24 son 256 y /32 es un único host. Invertir esa dirección es el error más frecuente con diferencia.
En reglas de cortafuegos y grupos de seguridad, 0.0.0.0/0 significa todas las direcciones de internet. Dejar el puerto SSH abierto a ese rango es el punto donde empiezan los incidentes.
Todas las conversiones se ejecutan en tu navegador y no se realiza ninguna petición de red con tu contenido.
La diferencia es práctica, no cosmética: el JWT que quieres decodificar contiene una sesión real y el JSON que quieres formatear contiene datos de clientes. Pegar eso en una herramienta en línea crea una vía de fuga que antes no existía.
Esta página no crea esa vía. Puedes dejar abierta la pestaña de red de las herramientas de desarrollo mientras la usas y comprobarlo tú mismo.
Formateo de JSON, Base64 y URL, pruebas de expresiones regulares, marcas de tiempo, decodificación de JWT, Cron, CIDR y comparación de texto.
No. Todo se procesa en el navegador, así que no expones datos internos a un servicio externo.
No. Decodifica la cabecera y el contenido, pero no comprueba la firma.