Firmador y Verificador de JWT

¿Qué es un JWT?

Un JSON Web Token (JWT) es una forma compacta y URL-safe de transportar claims entre dos partes. Consta de tres partes codificadas en Base64URL y unidas por puntos: un header que indica el algoritmo, un payload con claims en JSON y una firma calculada sobre header.payload con una clave. El receptor recalcula la firma y rechaza el token si no coincide. Los JWT son populares en autenticación sin estado porque el servidor no recuerda sesiones — cada petición lleva su propia prueba. La contrapartida es que no se puede revocar un token sin una lista de revocación adicional y cualquier secreto filtrado compromete todo token firmado con él. Esta herramienta se ejecuta íntegramente en tu dispositivo — tus secretos, claves de firma y tokens nunca salen de la página, nunca llegan a nuestros servidores y no se almacenan, indexan, registran ni comparten. Esa garantía importa porque una sola filtración de un secreto de firma JWT puede comprometer todas las cuentas de usuario para las que emite tokens.

Cómo usar

Elige el algoritmo de tu entorno, pega el header y el payload (o usa los predeterminados como plantilla) y pulsa Firmar. Para RS256 y ES256 puedes generar un par de claves nuevo en la propia página; para HS256 introduces un secreto. Para verificar, cambia de modo, pega el token y el secreto o la clave pública y pulsa Verificar. Si la firma es válida, el payload decodificado aparece en el veredicto.

Consejos y trampas habituales

Establece siempre exp (expiración) en producción. No aceptes el algoritmo declarado en el header sin una lista de permitidos — el ataque clásico alg=none explota servidores que confían en él. Rota las claves periódicamente, guarda las privadas en un HSM o gestor de secretos y trata los secretos HMAC como contraseñas. En apps web y móviles, prefiere JWT cortos con refresh tokens en cookies HttpOnly.

Algoritmos compatibles

Preguntas frecuentes