Descifra tus tokens: domina la descodificación y verificación de JWTs
Los JSON Web Tokens (JWT) son el estándar indiscutible para la gestión de sesiones y la autenticación sin estado en arquitecturas modernas y microservicios. Nuestra herramienta para descodificar y codificar JWT te permite inspeccionar al instante los datos contenidos en tus tokens, verificar firmas y crear tokens de prueba en un entorno seguro y local.
La anatomía en tres partes de un JWT
Un JWT se compone de tres cadenas codificadas en Base64Url separadas por puntos (.):
- Header (Cabecera): Especifica el tipo de token (JWT) y el algoritmo criptográfico empleado (por ejemplo, HS256).
- Payload (Carga útil): Contiene los claims o afirmaciones: la identidad del usuario, permisos concedidos, marcas temporales de emisión y expiración.
- Signature (Firma): Un código hash criptográfico generado a partir de la cabecera, la carga útil y una clave secreta que garantiza la integridad del mensaje.
Descodificar vs. Verificar: conoce la diferencia fundamental
- Descodificar: Es la acción de transformar las cadenas Base64Url de la cabecera y el payload a formato JSON legible. No garantiza que el token sea auténtico.
- Verificar: Es el proceso matemático de recalcular la firma con la clave secreta correspondiente. Demuestra de manera irrefutable que el emisor es quien dice ser y que ningún campo ha sido manipulado.
Claims habituales que encontrarás
sub(Subject): El identificador único del usuario o entidad autenticada.exp(Expiration Time): Marca temporal Unix que indica el segundo exacto en el que el token deja de ser válido.iat(Issued At): Momento exacto de emisión del token.iss(Issuer): La autoridad o servicio de autenticación que generó el token (por ejemplo, Auth0, Firebase o tu propio backend).aud(Audience): Los destinatarios o servicios a los que está destinado el token.
Depuración práctica con JWTs
- Tokens caducados: Comprueba de inmediato si tu token expiró inspeccionando el campo
expfrente al tiempo actual. - Roles y permisos mal asignados: Verifica si las claims de autorización (
roles,scope) coinciden con lo que tu frontend espera recibir. - Pruebas de endpoints locales: Genera tokens firmados al vuelo con identidades simuladas para probar tus APIs en Postman o Insomnia.
Privado y seguro
La privacidad es fundamental al manipular credenciales de seguridad. Todos los cálculos, descodificaciones y comprobaciones de firma tienen lugar exclusivamente en tu navegador web. Nunca enviamos tus tokens ni tus claves a ningún servidor exterior. Sin registros ni almacenamiento intermedio: la forma más segura de depurar tu autenticación.