Verificador de firma JWT
Decodifica un token web JSON (JWT) y verifica su firma HMAC contra un secreto. Esta herramienta muestra la cabecera y la carga, comprueba la firma con la API crypto del navegador y marca los tokens caducados o aún no válidos.
Los JWT son Base64 seguro para URL por dentro, así que la herramienta Base64 seguro para URL muestra los segmentos en bruto, mientras que el Decodificador JWT lee uno sin comprobar la firma.
Cómo usar Verificador JWT
- 1 Pega el JWT que quieres inspeccionar.
- 2 Introduce el secreto usado para firmarlo, para un token HS256.
- 3 Verifica la firma y lee las reclamaciones de cabecera y carga decodificadas.
- 4 Comprueba la reclamación exp para confirmar que el token no ha caducado.
Cómo usarlo
Pega un JWT y tu secreto HMAC. La herramienta decodifica ambos segmentos y verifica la firma. Las reclamaciones (claims) de caducidad y emisión se comprueban contra la hora actual.
- Decodifica cabecera y carga al instante
- Verifica firmas HS256, HS384 y HS512
- Comprueba reclamaciones exp, nbf e iat
- Verifica la integridad de la codificación base64url
- Tu secreto y token nunca salen de la página
Preguntas frecuentes
¿Es secreta la carga de un JWT?
No. La carga está codificada en base64url, no cifrada, así que cualquiera que tenga el token puede leer cada reclamación. Un JWT garantiza integridad: que nadie lo alteró, pero no confidencialidad. Nunca pongas datos sensibles en uno.
¿Qué es la vulnerabilidad alg:none?
Un ataque donde se cambia la cabecera a "alg": "none" y se elimina la firma. Si un servidor confía en la cabecera en lugar de imponer su propio algoritmo esperado, acepta el token falsificado. Fija siempre el algoritmo en el lado del servidor.
¿Cuál es la diferencia entre HS256 y RS256?
HS256 usa un secreto compartido para firmar y verificar, así que toda parte que pueda verificar también puede falsificar. RS256 usa una clave privada para firmar y una pública para verificar, así que un servicio puede comprobar tokens sin poder acuñarlos, por eso se prefiere para terceros.
Herramientas de seguridad y criptografía relacionadas
También te puede interesar
Herramientas de otras categorías que suelen combinarse con Verificador JWT: