Decodificador JWT

Bienvenido al Decodificador JWT, una potente herramienta en línea para que los desarrolladores decodifiquen e inspeccionen JSON Web Tokens (JWT) al instante. Ya sea que estés depurando problemas de autenticación, verificando notificaciones de tokens o aprendiendo sobre la estructura JWT, esta herramienta proporciona una visualización clara y codificada por colores de todos los componentes del token sin enviar ningún dato a servidores externos.

¿Qué es un JSON Web Token (JWT)?

Un JSON Web Token (JWT, pronunciado "yot") es un estándar abierto (RFC 7519) que define un método compacto y autónomo para transmitir información de forma segura entre partes como un objeto JSON. Los JWT son ampliamente utilizados para:

• Autenticación: Después de que un usuario inicia sesión, cada solicitud subsiguiente incluye un JWT, lo que permite el acceso a rutas, servicios y recursos permitidos con ese token.
• Intercambio de información: Los JWT pueden transmitir información de forma segura entre partes porque pueden firmarse utilizando claves secretas (HMAC) o pares de claves pública/privada (RSA, ECDSA).
• Autorización: Los servidores pueden verificar las notificaciones del token para determinar los permisos del usuario sin consultar una base de datos para cada solicitud.

Estructura de un JWT Explicada

Un JWT consta de tres partes separadas por puntos (.):

1. Encabezado (Rojo)

El encabezado normalmente contiene dos piezas de información:

• alg: El algoritmo de firma utilizado (por ejemplo, HS256, RS256, ES256)
• typ: El tipo de token, que siempre es "JWT"

2. Carga útil o Payload (Morado)

La carga útil contiene las notificaciones (claims): declaraciones sobre el usuario y metadatos adicionales. Hay tres tipos de notificaciones:

• Notificaciones registradas: Notificaciones predefinidas como iss (emisor), exp (expiración), sub (sujeto), aud (audiencia).
• Notificaciones públicas: Notificaciones personalizadas registradas en el Registro de JSON Web Tokens de la IANA o definidas como URIs.
• Notificaciones privadas: Notificaciones personalizadas acordadas entre las partes (por ejemplo, user_id, role).

3. Firma (Azul)

La firma se crea combinando el encabezado codificado, la carga útil codificada, una clave secreta y el algoritmo especificado en el encabezado. Garantiza que el token no haya sido manipulado.

Referencia de Notificaciones (Claims) Comunes de JWT

Algoritmos de Firma JWT

Algoritmos Simétricos (HMAC)

• HS256: HMAC usando SHA-256 - Misma clave secreta para firmar y verificar.
• HS384: HMAC usando SHA-384.
• HS512: HMAC usando SHA-512.

Algoritmos Asimétricos (RSA/ECDSA)

• RS256: Firma RSA con SHA-256 - La clave privada firma, la clave pública verifica.
• RS384: Firma RSA con SHA-384.
• RS512: Firma RSA con SHA-512.
• ES256: ECDSA usando la curva P-256 y SHA-256.
• ES384: ECDSA usando la curva P-384 y SHA-384.
• ES512: ECDSA usando la curva P-521 y SHA-512.

Consideraciones de Seguridad

Decodificar vs. Verificar

Importante: Esta herramienta decodifica JWT pero no los verifica. Decodificar simplemente revela el contenido codificado en Base64URL, mientras que la verificación requiere la clave secreta para validar la firma. Nunca confíes en los datos decodificados sin la verificación de la firma en el lado del servidor.

Mejores Prácticas

• Verifica siempre las firmas en el lado del servidor antes de confiar en cualquier notificación.
• Utiliza tiempos de expiración cortos (exp); normalmente de 15 minutos a 1 hora para tokens de acceso.
• No almacenes datos sensibles en la carga útil: está codificada, no encriptada.
• Utiliza HTTPS para evitar la interceptación de tokens durante la transmisión.
• Valida la notificación de audiencia (aud) para evitar el mal uso del token.
• Utiliza algoritmos asimétricos (RS256, ES256) para sistemas distribuidos donde múltiples servicios necesitan verificar tokens.

Privacidad y Seguridad

Este Decodificador JWT funciona completamente en tu navegador:

• Sin transmisión al servidor: Tu JWT nunca se envía a ningún servidor.
• Procesamiento en el lado del cliente: Toda la decodificación ocurre en JavaScript en tu navegador.
• Sin almacenamiento de datos: No almacenamos, registramos ni rastreamos tus tokens.
• Lógica de código abierto: Puedes inspeccionar la lógica de decodificación en las herramientas de desarrollo de tu navegador.

Preguntas Frecuentes

¿Qué es un JWT (JSON Web Token)?

Un JSON Web Token (JWT) es un estándar abierto (RFC 7519) para transmitir información de forma segura entre partes como un objeto JSON. Los JWT se utilizan comúnmente para la autenticación y autorización en aplicaciones web. Un JWT consta de tres partes: Encabezado (algoritmo y tipo de token), Carga útil (notificaciones/datos) y Firma (verificación).

¿Es seguro decodificar JWT en el navegador?

Sí, decodificar un JWT en el navegador es seguro porque el encabezado y la carga útil están simplemente codificados en Base64URL, no encriptados. Sin embargo, recuerda que la decodificación NO verifica la firma del token. Nunca confíes en los datos decodificados sin una verificación de firma adecuada en el lado del servidor. Esta herramienta decodifica tokens completamente en tu navegador.

¿Qué significan las diferentes partes de un JWT?

Un JWT tiene tres partes separadas por puntos: 1) Encabezado: contiene el algoritmo (alg) y el tipo de token (typ). 2) Carga útil: contiene notificaciones, que son declaraciones sobre el usuario y datos adicionales como expiración (exp), etc. 3) Firma: se usa para verificar que el token no haya sido manipulado.

¿Por qué no puedo verificar la firma con esta herramienta?

La verificación de la firma requiere la clave secreta o pública. Dado que esta herramienta se ejecuta localmente en tu navegador por privacidad, no puede acceder a las claves de tu servidor. Para verificar firmas, utiliza bibliotecas especializadas en tu entorno de programación.

¿Cuáles son las notificaciones comunes de JWT?

Las notificaciones registradas comunes incluyen: iss (emisor), sub (sujeto), aud (audiencia), exp (expiración), nbf (no antes de), iat (emitido en) y jti (ID de JWT).

Recursos Adicionales

• JWT.io - Introducción Oficial a JWT
• RFC 7519 - Especificación de JSON Web Token
• Auth0 - Documentación de JSON Web Tokens