JWT

Decodifica, verifica y crea JSON Web Tokens con avisos de seguridad.

Se procesa en tu navegador · Compruébalo Sin envíosDatos enviados: 0 · A otros dominios: 0Analítica: no existe · Anuncios: no existe

Prueba un ejemplo

TokenPega un JWT (también vale con el prefijo «Bearer »).

Aprende

¿Qué es?

Un JWT es un texto con tres partes separadas por puntos: cabecera.carga.firma. La cabecera dice cómo se firmó, la carga lleva los datos (los claims) y la firma permite comprobar que nadie los ha cambiado.

¿Para qué sirve?

Mantener la sesión de un usuario sin guardar nada en el servidor (Authorization: Bearer …).
Depurar por qué tu API responde 401: ¿caducó?, ¿es para otra audiencia?, ¿se firmó con otra clave?
Entender qué datos viajan en un token de login.

¿Cómo funciona por dentro?

Se codifican la cabecera y la carga en Base64URL.
Se calcula la firma de cabecera.carga con una clave: un secreto (HS256) o una clave privada (RS256, ES256…).
Quien recibe el token repite el cálculo con la clave y compara. Si coincide, el contenido no se ha tocado.

Ojo: la carga no está cifrada, cualquiera puede leerla (por eso esta herramienta puede decodificarla sin clave). La firma sólo garantiza que no se modificó.

Errores comunes

Meter secretos o datos personales en la carga: es legible por cualquiera.
Aceptar tokens con alg: none o sin comprobar la firma: permite falsificarlos.
Usar un secreto corto o fácil de adivinar con HS256.
No poner caducidad (exp) o no comprobarla en el servidor.
Confiar en el algoritmo que declara el token: el servidor debe decidir qué algoritmo y qué clave acepta.

Glosario

Claim:: Un dato dentro del token, como sub (a quién pertenece) o exp (cuándo caduca).
Firma:: Código calculado con una clave que permite comprobar que el token no fue alterado.
HMAC (HS256):: Firma con un secreto compartido: quien verifica también puede firmar.
Clave pública/privada (RS, ES):: La privada firma y la pública sólo verifica; se puede compartir la pública.
Base64URL:: Variante de Base64 segura para URLs; no cifra, sólo codifica.

Para saber más

Más en Seguridad

Aprende paso a paso en la rutaEntiende la autenticación web