Codificador y decodificador JWT

1. Decodificar: pega un JWT compacto para inspeccionar su cabecera, payload, firma, claims reconocidos y fechas legibles de los claims temporales admitidos.
2. Verificar: proporciona un token HMAC y su secreto. La herramienta comprueba la firma con el algoritmo declarado en el token.
3. Codificar: edita la cabecera y el payload JSON, elige HS256, HS384 o HS512, introduce un secreto de prueba y genera un token firmado.
4. Usa el token de ejemplo para explorar la herramienta, copia los resultados que necesites o borra los campos al terminar.

Codificador y decodificador JWT

Un JSON Web Token (JWT) es un formato compacto que se utiliza para transmitir claims entre sistemas. Un token compacto tiene tres partes: cabecera.payload.firma. Esta herramienta puede decodificar un token, verificar firmas HMAC y generar tokens firmados para desarrollo y pruebas. El procesamiento se realiza en tu navegador y la herramienta no guarda los campos que introduces.

Las tres partes de un JWT

La cabecera contiene metadatos del token, normalmente su tipo y algoritmo de firma. El payload contiene claims: información sobre el token o su sujeto. La firma permite comprobar que la cabecera y el payload codificados se firmaron con el secreto esperado y no se modificaron. La cabecera y el payload están codificados en Base64URL, no cifrados. Cualquiera que tenga el token generalmente puede decodificarlos, así que no incluyas contraseñas, secretos de API, claves privadas, credenciales ni información personal sensible en un payload JWT normal.

Decodificar y verificar

Decodificar permite saber qué información contiene un token. Verificar comprueba si la firma HMAC coincide con los datos del token y el secreto proporcionado. Un token puede decodificarse aunque la firma sea inválida, se desconozca el secreto, se hayan alterado los datos o haya caducado. Que sea legible no significa que sea confiable. Incluso una firma válida no decide si una aplicación debe autorizar a un usuario ni aceptar un emisor, audiencia, rol o claim concreto.

Claims JWT y fechas

Entre los claims registrados habituales están iss (emisor), sub (sujeto), aud (audiencia prevista), exp (caducidad), nbf (no válido antes de), iat (emitido en) y jti (identificador del token). Los claims exp, nbf e iat suelen contener marcas de tiempo Unix en segundos. El decodificador presenta las fechas numéricas admitidas en un formato legible. La aplicación que consume el token sigue siendo responsable de interpretarlas y aplicarlas.

Verificar firmas HMAC

El verificador admite HS256, HS384 y HS512. Estos algoritmos usan HMAC con SHA-256, SHA-384 y SHA-512, respectivamente, junto con un secreto compartido. La herramienta usa el algoritmo declarado en la cabecera del token y compara la firma calculada con la firma del JWT. Un resultado válido significa que la firma coincide con el secreto y los datos proporcionados. No confirma permisos ni valida todos los claims. No admite verificación RSA o ECDSA con claves públicas o privadas, como RS256 o ES256.

Generar un JWT firmado

En el modo Codificar, edita la cabecera y el payload JSON, elige HS256, HS384 o HS512 e introduce un secreto para crear un token compacto firmado. Usa tokens y secretos de prueba para desarrollo. Generar un JWT firmado no hace que sus claims sean adecuados ni seguros para producción.

Uso cuidadoso de JWT

Decodificar no es verificar, y verificar no es autorizar. Usa secretos de prueba o desarrollo al experimentar en el navegador y evita introducir credenciales de producción. Los payloads JWT normalmente están codificados, no cifrados, así que su contenido puede leerlo quien obtenga el token. La aplicación debe validar los claims y permisos por separado antes de conceder acceso.

Pega un JWT compacto para inspeccionar su cabecera, payload, firma, claims registrados y fechas legibles de los claims numéricos admitidos.

Comprueba una firma HMAC con HS256, HS384 o HS512 y el secreto utilizado para firmar el token. La verificación comprueba la firma, no los permisos de la aplicación.

Edita la cabecera y el payload JSON, elige un algoritmo HMAC, proporciona un secreto y crea un token firmado para pruebas.

Inspecciona claims como iss, sub, aud, exp, nbf, iat y jti. Recuerda que decodificar no verifica la autenticidad y que los payloads JWT no están cifrados.