Usa el Generador JWT HS256 gratuito abajo: tus datos nunca salen de tu navegador, todo el trabajo ocurre en tu dispositivo y no se sube a ningún servidor.
JWT: el pequeño token que lleva su propia prueba
Cuando inicias sesión en un sitio web moderno, el servidor a menudo te entrega un JSON Web Token, un JWT. Tu navegador lo guarda y lo envía de vuelta con cada petición, y el servidor confía en él sin buscar nada en una base de datos. Eso funciona porque el token lleva su propia prueba: una firma que solo el servidor pudo haber creado. Si alguien manipula el token, la firma deja de coincidir, y el servidor lo rechaza. La herramienta de esta página crea y verifica tokens HS256, el tipo de JWT firmado más común, por completo en tu navegador.
Un JWT tiene tres partes, unidas por puntos. La cabecera dice qué algoritmo y tipo de token se usan, normalmente {“alg”:”HS256″,”typ”:”JWT”}. El contenido lleva afirmaciones: quién es el usuario, cuándo se emitió el token, cuándo caduca, y cualquier otra cosa que la aplicación necesite. La firma es un HMAC-SHA256 de la cabecera y el contenido, calculado con una clave secreta que solo el servidor conoce. Cada parte se codifica en base64url, que es base64 con caracteres seguros para URLs y sin relleno, así que el token completo se puede poner en una cabecera HTTP o en una URL.
Crear un token con esta herramienta
Edita el JSON de la cabecera y del contenido, escribe una clave secreta y pulsa Generar. La herramienta firma el token con Web Crypto, el mismo motor criptográfico que tu navegador usa para los sitios seguros, y te muestra el token completo más el contenido decodificado. El ejemplo clásico ya viene rellenado: un contenido que nombra a John Doe, emitido en un momento fijo, firmado con la clave “your-256-bit-secret”. Su token es el ejemplo famoso de la documentación del estándar JWT, y producir exactamente ese token es una buena comprobación de que una implementación es correcta. Esta herramienta lo reproduce.
La función de verificación funciona al revés. Pega cualquier token HS256 y la clave secreta, y la herramienta decodifica la cabecera y el contenido y comprueba la firma. Una firma válida significa que el token se firmó con esa clave secreta y no se ha alterado desde entonces. Una firma no válida significa la clave incorrecta o un token manipulado. Ten en cuenta que la verificación necesita la clave secreta: cualquiera puede decodificar el contenido de un JWT sin ninguna clave, porque base64 es codificación, no cifrado, pero solo quien tiene la clave puede verificar la firma.
Para qué sirven los JWT, y para qué no
Los JWT brillan en la autenticación sin estado. Un servidor que puede verificar una firma no necesita guardar sesiones ni consultar una base de datos en cada petición, lo que facilita escalar. También son útiles para pasar afirmaciones entre servicios: un servicio emite un token, otro lo verifica, y ambos confían en el mismo secreto o clave pública. Los tokens de acceso de vida corta, a menudo combinados con tokens de actualización de vida más larga, son el patrón habitual.
Pero los JWT tienen límites reales. Un token no se puede revocar fácilmente antes de que caduque, porque el servidor no lo sigue; la solución habitual son tiempos de caducidad cortos. El contenido de un token lo puede leer cualquiera que lo tenga, así que nunca pongas contraseñas, secretos ni datos personales sensibles dentro de uno. Y la seguridad de un token HS256 descansa por completo en la clave secreta: si la clave se filtra, cualquiera puede falsificar tokens, así que las claves secretas deben ser largas, aleatorias y guardarse de forma segura en el servidor, nunca enviarse a navegadores en código de producción.
Errores comunes que debes evitar
El error más famoso con JWT es aceptar tokens con alg “none”, es decir, sin firma. Algunas librerías históricamente lo permitían, y los atacantes lo usaban para falsificar tokens. Exige siempre el algoritmo esperado. Otro error es usar una clave secreta débil como “secreto” o “contraseña”, que se puede romper por fuerza bruta sin conexión, porque un atacante con un token puede probar claves secretas candidatas hasta que la firma coincida. Un tercer error es confiar en el contenido sin verificar la firma, que es como confiar en una carta porque el sobre parece correcto.
Si estás aprendiendo JWT, esta herramienta es un lugar seguro para experimentar: genera tokens, cambia un carácter del contenido, y observa cómo falla la verificación. Ese único experimento enseña la idea central mejor que cualquier diagrama. Y recuerda, tu clave secreta nunca sale de esta página. La firma ocurre en tu navegador, y nada se envía a ningún servidor.
Preguntas frecuentes
¿Un JWT está cifrado? No, salvo que uses JWE, la variante cifrada. El contenido de un JWT simple es solo base64, legible por cualquiera. ¿Puedo usar los tokens de esta herramienta en producción? Solo como ejemplos: las claves secretas de producción deben vivir en tu servidor, nunca en una herramienta de navegador. ¿Por qué HS256 y no RS256? HS256 usa un secreto compartido y es más sencillo; RS256 usa una clave privada para firmar y una pública para verificar, lo que conviene a sistemas donde muchos verificadores no deben poder falsificar tokens.
Pingback: Generar ULIDs Gratis - Crea Identificadores ULID al Instante