Generador JWT

Bienvenido al Generador JWT, una herramienta en línea rápida y gratuita para crear JSON Web Tokens firmados. Ya sea que esté probando un flujo de autenticación, construyendo una API, depurando una integración o aprendiendo cómo funcionan los JWT internamente, este generador le otorga un control total sobre el encabezado del token, las notificaciones (claims) de la carga útil y el algoritmo de firma HMAC. Obtenga un token HS256, HS384 o HS512 válido con un solo clic e inspeccione cada segmento de forma paralela.

¿Qué es un JSON Web Token?

Un JSON Web Token (JWT) es un formato de credencial compacto y seguro para URL definido por el RFC 7519. Un JWT transporta notificaciones sobre un sujeto entre dos partes y demuestra su integridad mediante una firma criptográfica. Debido a que el token es autónomo, el receptor puede validarlo sin necesidad de consultar al emisor, una propiedad que convierte a los JWT en la columna vertebral de la autenticación sin estado para aplicaciones web y móviles modernas.

Cada JWT se construye a partir de tres partes codificadas en base64url unidas por puntos:

• Encabezado (Header) — un objeto JSON que declara el tipo de token (typ) y el algoritmo de firma (alg).
• Carga útil (Payload) — un objeto JSON que contiene las notificaciones, como el ID de usuario, el tiempo de expiración y cualquier dato personalizado.
• Firma (Signature) — una firma HMAC o RSA sobre el encabezado y la carga útil codificados que los protege de manipulaciones.

Cómo funciona el Generador JWT

Esta herramienta sigue la receta exacta de firma de JWT del RFC 7519 §7.1:

1. Serializa el JSON del encabezado a su formato compacto (sin espacios en blanco) y lo codifica en base64url.
2. Hace lo mismo con el JSON de la carga útil.
3. Concatena ambos con un separador de punto. Esta es la entrada de la firma.
4. Calcula el HMAC de la entrada de la firma utilizando su secreto y el algoritmo SHA-2 elegido.
5. Codifica en base64url los bytes de la firma resultante.
6. Concatena todo como encabezado.carga_útil.firma.

Qué hace diferente a este generador

• Visualización en color de tres segmentos — encabezado (rosa), carga útil (púrpura), firma (cian) para que pueda identificar cada parte al instante.
• Paleta de Notificaciones Rápidas — inserción con un clic de iss, sub, aud, iat, nbf y jti.
• Asistente de expiración — botones preestablecidos para 1 hora, 1 día, 7 días o 30 días que calculan automáticamente la marca de tiempo Unix correcta.
• Vista previa del token en vivo — el encabezado y la carga útil codificados se actualizan mientras escribe para que pueda ver cómo cada edición cambia el token.
• Sincronización inteligente de encabezado — al cambiar el algoritmo, se actualiza automáticamente el campo alg del encabezado.
• Alternancia de secreto Base64 — si su secreto se almacena como base64 (la convención JWS para claves binarias), active la opción y la herramienta lo decodificará antes de firmar.
• Botones de copia por segmento — copie el encabezado, la carga útil, la firma o el token completo de forma independiente.
• Resumen de notificaciones — las notificaciones estándar reconocidas se enumeran con una descripción y una marca de tiempo legible por humanos cuando corresponda.

Elegir el algoritmo adecuado

Las tres variantes de HMAC que admite esta herramienta son funcionalmente idénticas, excepto por el hash SHA-2 subyacente y la longitud de la firma:

• HS256 — HMAC con SHA-256. Firma de 256 bits. El valor predeterminado para casi todas las librerías de emisión de JWT y la opción con mayor interoperabilidad.
• HS384 — HMAC con SHA-384. Firma de 384 bits. Margen ligeramente mayor contra futuros criptoanálisis.
• HS512 — HMAC con SHA-512. Firma de 512 bits. Útil cuando la política requiere el hash estándar más largo.

Los tres dependen de un secreto compartido que poseen tanto el firmante como el verificador. El RFC 7518 §3.2 requiere que la clave sea al menos tan larga como la salida del hash: 256 bits para HS256, 384 bits para HS384, 512 bits para HS512.

Notificaciones Estándar Registradas

El RFC 7519 §4.1 define un pequeño conjunto de notificaciones estándar que los emisores y verificadores de JWT deben reconocer. Todas son opcionales pero ampliamente compatibles:

• iss (emisor) — identifica quién creó el token. A menudo una URL o el nombre del servicio.
• sub (sujeto) — identifica de qué trata el token, normalmente un ID de usuario.
• aud (audiencia) — identifica al destinatario al que va dirigido el token. Puede ser una sola cadena o una matriz.
• exp (tiempo de expiración) — marca de tiempo Unix después de la cual el token debe ser rechazado.
• nbf (no antes de) — marca de tiempo Unix antes de la cual el token no debe ser aceptado.
• iat (emitido en) — marca de tiempo Unix que registra cuándo se creó el token.
• jti (ID de JWT) — un identificador único que permite que los tokens sean revocados o rastreados individualmente.

Cómo utilizar esta herramienta

1. Elija un algoritmo de firma — haga clic en HS256, HS384 o HS512. El encabezado se actualiza automáticamente para coincidir.
2. Edite el encabezado (opcional) — el encabezado predeterminado contiene alg y typ. Añada un kid (ID de clave) personalizado si su verificador lo necesita.
3. Construya la carga útil — escriba sus notificaciones como JSON o haga clic en los botones de Notificaciones Rápidas para insertar campos estándar. El asistente de expiración escribe una marca de tiempo Unix correcta para la duración relativa que elija.
4. Establezca el secreto — introduzca su secreto compartido HMAC. Use el icono del ojo para revelarlo. Si su secreto está codificado en base64, active la casilla para que la herramienta lo decodifique antes de firmar.
5. Genere el JWT — haga clic en Generar JWT. El token completo, las tres tarjetas de segmentos, el diagrama de estructura y el resumen de notificaciones reconocidas se renderizan juntos.
6. Copie lo que necesite — use los botones de Copia por segmento o el botón Copiar Token para llevar el valor codificado a Postman, curl o su aplicación cliente.

Casos de uso comunes

Autenticación y Autorización

• Emita tokens de acceso tras un inicio de sesión exitoso.
• Codifique la identidad del usuario (sub) junto con notificaciones de roles o permisos.
• Firme tokens de corta duración (15-60 minutos) y renuévelos según sea necesario.

Pruebas de integración de API

• Construya tokens ficticios para probar cómo responde su API a notificaciones expiradas, futuras o mal formadas.
• Genere JWT fijos para pruebas unitarias y flujos de CI.
• Reproduzca tokens similares a los de producción en un entorno local sin consultar al servidor de autenticación real.

Depuración de inicio de sesión único (SSO)

• Compare un JWT que funciona correctamente con uno que envía su proveedor para encontrar desviaciones en las especificaciones.
• Verifique el algoritmo de firma y el ID de clave (kid) utilizado por un emisor ascendente.

Preguntas frecuentes

¿Es el JWT creado aquí un token real y válido?

Sí. El token se firma con HMAC sobre el encabezado y la carga útil codificados canónicamente. Cualquier librería JWT que utilice su mismo secreto lo validará correctamente.

¿Por qué mi token parece idéntico al que genero en otros lugares?

Porque los JWT son deterministas: dado el mismo encabezado, carga útil y secreto, cada librería conforme produce exactamente la misma cadena. Si ve una diferencia, compruebe que el orden de serialización JSON, la ortografía de las claves y la codificación del secreto coincidan.

¿Puedo decodificar un JWT para verificar lo que he generado?

Sí. Combine esta herramienta con un decodificador JWT para inspeccionar los segmentos. La decodificación solo revierte el paso base64url; verificar la firma sigue requiriendo el secreto.

¿Por qué se rechaza mi secreto por ser demasiado corto?

El RFC 7518 recomienda una clave de al menos la longitud de salida del hash: 256 bits para HS256. La herramienta en sí no impone un mínimo, pero un verificador con un comportamiento correcto puede rechazar claves cortas. Utilice un secreto de más de 32 bytes generado aleatoriamente en el uso real.

¿Admite esta herramienta RS256, ES256 o EdDSA?

Todavía no. Esta herramienta se centra en algoritmos basados en HMAC porque solo necesitan una cadena compartida. Los algoritmos asimétricos (RS*, PS*, ES*, EdDSA) requieren pares de claves y manejo de PEM que se adaptan mejor a herramientas dedicadas.

¿Se envían mi secreto y mi carga útil al servidor?

El formulario se envía a través de HTTPS para calcular la firma. Nada se registra ni se almacena más allá de la vida útil de la solicitud. No introduzca secretos de producción aquí en ningún caso; trátelo como un entorno de pruebas público.

Recursos adicionales

• RFC 7519 - JSON Web Token (JWT)
• RFC 7515 - JSON Web Signature (JWS)
• RFC 7518 - JSON Web Algorithms (JWA)
• JSON Web Token - Wikipedia