¿Qué es un JWT
Un JSON Web Token (JWT) es un formato de cadena compacto utilizado para sesiones, autorización de API y reclamaciones de servicio a servicio. Un JWT típico tiene tres segmentos Base64URL: Cabecera (algoritmo y tipo), Carga útil (afirmaciones como ID de usuario y exp) y Firma (prueba la integridad cuando se verifica correctamente).
Con Towalles jwt-decoder, pega un token localmente en el navegador e inspecciona el JSON de cabecera y carga útil al instante. No se carga nada, ideal para depurar entornos de desarrollo, comprobar la caducidad y solucionar respuestas 401 inesperadas.
La decodificación no es verificación
Cualquiera puede decodificar la cabecera y la carga útil de JWT con Base64, por lo que nunca ponga contraseñas o números completos de tarjetas en reclamaciones. La firma existe para que los servidores puedan verificar que el token fue emitido por una parte de confianza y no fue manipulado.
Error común: "He descodificado el JWT en el frontend y he visto papel: administrador, por lo que el usuario es administrador". Los atacantes pueden falsificar cargas útiles a menos que su aplicación decodifique sin verificar. Siempre verifique las firmas y reclamaciones (exp, aud, iss) en el servidor.
Consejos prácticos de depuración
Compruebe si exp ha pasado; Permitir el sesgo del reloj. Confirme que el alg coincide con las expectativas (cuidado con alg:none o confusión del algoritmo). Combina iss/aud a tu servicio. Para HS256, mantenga secretos solo en el lado del servidor; jwt-generator es para el desarrollador local, no el código cliente de producción.
Combinar con el generador de hash y el generador de hmac para entender la firma vs HMAC: la firma JWT es un protocolo estructurado; HMAC es la autenticación general de mensajes. Utilice hmac-generator al validar los webhooks de la API.
Privacidad y cumplimiento
Incluso con herramientas locales, no filtre fichas de producción en grabaciones de pantalla, registros o entradas. Gire los secretos, mantenga los tokens de acceso de corta duración y use la autenticación de actualización o aumento para acciones sensibles. Las páginas de herramientas de Towalles incluyen tutoriales y preguntas frecuentes para alinear las líneas básicas de seguridad del equipo.