Decodificador, Verificador y Generador JWT

Relacionado

¿Qué es Decodificador, Verificador y Generador JWT?

Casos de uso

• Decodificar JWT online: divide rápidamente un token durante la depuración de inicio de sesión OAuth 2.0 / OIDC para inspeccionar el algoritmo del Header y los Claims del Payload
• Verificar firmas JWT: usa un Secret / clave pública para validar firmas de tokens en tiempo real y decidir si un 401 es 'firma incorrecta', 'expirado' o 'discordancia de algoritmo'
• Generar JWTs de prueba durante la integración: emite un JWT en el navegador con un par de claves de prueba, sin necesidad de pedir al backend que cambie temporalmente el código para emitir un token
• Conversión PEM ↔ JWK: el IdP OIDC te dio JWK pero el servidor necesita PEM (o viceversa) — convierte en el lugar en lugar de escribir un script de OpenSSL
• Diagnosticar 401 Unauthorized: recorre la expiración, la coincidencia de alg con la pasarela, la coincidencia de claves y el formato PEM uno por uno
• Comparar RS256 vs PS256: muchos proveedores OIDC usan RS256 por defecto mientras que AWS SigV4 prefiere PS256 — cambia algoritmos con el mismo par de claves RSA y compara resultados
• Aprender el funcionamiento interno de JWT: cambia el alg, edita el Payload, intercambia la clave en el navegador y observa cómo se rompe la firma en tiempo real — mucho más rápido que leer el RFC

Cómo Usar

1. Pega o escribe el token: suelta la cadena JWT en el cuadro de entrada; la herramienta separa automáticamente Header, Payload y Signature e imprime cada uno como JSON con formato
2. Selecciona el algoritmo: cambia entre HS256 / RS256 / ES256 / PS256 / EdDSA; la herramienta infiere de Header.alg y marca cualquier discordancia
3. Importa una clave: pega un Secret HMAC, una cadena PEM o un JSON JWK; para algoritmos asimétricos, haz clic en 'Generar par de claves' para obtener una clave de prueba inmediatamente
4. Verifica o vuelve a firmar: en modo Decode verifica con una clave pública y ve '✅ firma válida / ❌ firma inválida'; en modo Encode edita Claims y firma con una clave privada para producir un nuevo token

Output Example

A real MP3 file encoded to a Data URI — copy-ready:

Header (Base64URL):  eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
Payload(Base64URL):  eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkphbmUgRG9lIiwiaWF0IjoxNzE2MjM5MDIyfQ
Signature:           kZJfaYjK3iCkVFL5EL9zGRZ5SmD8_x2h6B5c7pVFfVGo

Header decodificado:
  {
    "alg": "HS256",
    "typ": "JWT"
  }

Payload decodificado:
  {
    "sub": "1234567890",
    "name": "Jane Doe",
    "iat": 1716239022        // 2024-05-20 14:23:42 UTC
  }

Características

• Decodificar + Verificar + Generar en un solo lugar: pega un token para separar Header/Payload/Signature, cambia algoritmo y clave para verificar la firma, edita Claims y vuelve a firmar para producir un nuevo token — cubre toda la cadena de solución de problemas JWT
• 13 algoritmos compatibles: HS256/HS384/HS512 (HMAC), RS256/RS384/RS512 (RSA-PKCS1-v1_5), ES256/ES384/ES512 (ECDSA), PS256/PS384/PS512 (RSA-PSS), EdDSA — cubre OAuth 2.0, OIDC, JWS, pasarelas API y SSO empresarial
• Formatos PEM y JWK: las claves RSA, ECDSA y Ed25519 aceptan cadenas PEM (con cabeceras -----BEGIN PUBLIC KEY-----) y JSON JWK (campos kid/kty/n/e) — pega directamente la salida de OIDC /.well-known/jwks.json
• Múltiples formas de entrada para Secret HMAC: cadena UTF-8 sin procesar, bytes hexadecimales o Secret codificado en Base64/Base64URL — cambia con un clic, para que 'parece igual pero la firma falla' nunca suceda
• Generación automática de pares de claves: pares de claves RSA-2048, RSA-4096, P-256, P-384 y Ed25519 generados en el navegador, presentados en formatos PEM y JWK para uso inmediato en pruebas
• Resaltado semántico de Claims: exp / iat / nbf se convierten automáticamente a tiempo legible por humanos con estado expirado / aún no válido / emitido resaltado; alg / typ / kid en Header etiquetados individualmente
• 100% del lado del cliente, cero subidas: cada análisis, verificación y firma se ejecuta a través de la API Web Crypto nativa del navegador — los tokens, claves y payload nunca salen del navegador, coincidiendo con el principio de seguridad de 'nunca pegar tokens de producción en herramientas online aleatorias'
• Copiar con un clic: Header, Payload, Signature y el token recién generado son cada uno copiables independientemente para documentación, tickets y comandos curl

Ejemplos de Código

const crypto = require('node:crypto')

function b64url(input) {
  return Buffer.from(input)
    .toString('base64')
    .replace(/\+/g, '-')
    .replace(/\//g, '_')
    .replace(/=+$/, '')
}

function hmacSign(data, secret) {
  return b64url(crypto.createHmac('sha256', secret).update(data).digest())
}

function sign(payload, secret) {
  const header = b64url(JSON.stringify({ alg: 'HS256', typ: 'JWT' }))
  const body = b64url(JSON.stringify(payload))
  const signature = hmacSign(`${header}.${body}`, secret)
  return `${header}.${body}.${signature}`
}

function verify(token, secret) {
  const [h, p, s] = token.split('.')
  const expected = hmacSign(`${h}.${p}`, secret)
  const a = Buffer.from(s)
  const b = Buffer.from(expected)
  return a.length === b.length && crypto.timingSafeEqual(a, b)
}

const SECRET = 'my-super-secret-key'
const payload = { userId: 42, role: 'admin', exp: Math.floor(Date.now() / 1000) + 3600 }
const token = sign(payload, SECRET)

console.log(token)
console.log(verify(token, SECRET))       // true
console.log(verify(token, 'wrong-key'))  // false

<!doctype html>
<html>
  <body>
    <pre id="out"></pre>
    <script>
      const out = document.getElementById('out')

      const b64url = buf =>
        btoa(String.fromCharCode(...new Uint8Array(buf)))
          .replace(/\+/g, '-').replace(/\//g, '_').replace(/=+$/, '')

      const b64urlStr = str => b64url(new TextEncoder().encode(str))

      async function sign(payload, secret) {
        const header = b64urlStr(JSON.stringify({ alg: 'HS256', typ: 'JWT' }))
        const body = b64urlStr(JSON.stringify(payload))
        const data = new TextEncoder().encode(`${header}.${body}`)

        const key = await crypto.subtle.importKey(
          'raw',
          new TextEncoder().encode(secret),
          { name: 'HMAC', hash: 'SHA-256' },
          false,
          ['sign']
        )

        const sig = await crypto.subtle.sign('HMAC', key, data)
        return `${header}.${body}.${b64url(sig)}`
      }

      ;(async () => {
        const token = await sign({ user: 'alice', role: 'admin' }, 'browser-demo-secret')
        out.textContent = token
      })()
    </script>
  </body>
</html>

import { jwtVerify, importSPKI } from 'jose'
import { readFile } from 'node:fs/promises'

const token = 'eyJhbGciOiJSUzI1NiIsImtpZCI6IjEifQ.payload.signature'
const publicKeyPem = await readFile('public.pem', 'utf8')

try {
  const { payload, protectedHeader } = await jwtVerify(
    token,
    await importSPKI(publicKeyPem, 'RS256'),
    {
      issuer: 'https://idp.example.com',
      audience: 'my-app',
      algorithms: ['RS256'],     // crítico: la lista blanca de algoritmos bloquea ataques alg:none y sustitución HS256
    }
  )
  console.log('alg =', protectedHeader.alg)
  console.log('sub  =', payload.sub)
} catch (err) {
  console.error('verify failed:', err.code, err.message)
  // común: ERR_JWT_EXPIRED / ERR_JWS_INVALID / ERR_JWS_SIGNATURE_VERIFICATION_FAILED
}

import jwt

token = 'eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjM0In0.SflKxw'

# Analizar (sin verificación de firma, solo mira Header y Payload)
print(jwt.get_unverified_header(token))
# {'alg': 'HS256', 'typ': 'JWT'}

print(jwt.decode(token, options={'verify_signature': False}))
# {'sub': '1234'}

# Verificación completa
claims = jwt.decode(
    token,
    'my-super-secret-key',
    algorithms=['HS256'],
    audience='my-app',
    issuer='my-service',
)
print(claims['sub'])

5 familias de algoritmos de firma JWT: ¿cuál elegir?

JWT no es un único algoritmo: las 5 familias tienen compromisos diferentes en tipo de clave, rendimiento, seguridad y soporte del ecosistema. Elige primero según el escenario y evitarás muchos rodeos.

Best Practices

Preguntas Frecuentes

Solución de problemas

Privacy & Security

Este banco de trabajo JWT se ejecuta 100% en tu navegador, respaldado por la API Web Crypto nativa del navegador. El token que pegas, el Header, el Payload, la Signature, el Secret HMAC, cualquier clave privada RSA/ECDSA, cualquier par de claves generado y cada cálculo de firma/verificación permanecen en tu dispositivo — nunca viajan a un servidor, nunca se registran, nunca se analizan y nunca se almacenan en caché. La página puede usarse sin conexión una vez cargada. Mejores prácticas: nunca pegues tokens de producción de larga duración o claves privadas de producción en ninguna herramienta online, incluida esta. Esta herramienta es apropiada para depuración, pruebas de integración, aprendizaje y acuñación de tokens de prueba — los secrets de producción y las claves privadas deben manejarse en un entorno controlado y local.

Supported Video Formats

Authoritative References

• IETFRFC 7519: JSON Web Token (JWT)
• IETFRFC 7515: JSON Web Signature (JWS)
• IETFRFC 7517: JSON Web Key (JWK)
• Auth0JWT.io — depurador oficial e índice de bibliotecas
• OWASPOWASP JSON Web Token Cheat Sheet
• IETFResumen del grupo de trabajo JOSE