Generador JWT
Genere JSON Web Tokens firmados con encabezado, carga y clave personalizados. Soporta HS256, RS256, ES256.
¿Qué es un JWT?
JWT (JSON Web Token) es un estándar abierto (RFC 7519) para transmitir información de forma segura como un objeto JSON compacto. Consta de tres partes separadas por puntos: Header.Payload.Signature.
¿Cuáles son los usos comunes de JWT?
JWT se usa ampliamente para autenticación (inicio de sesión único), autorización de API e intercambio seguro de información. Tras el login, el servidor emite un JWT que el cliente incluye en solicitudes posteriores.
¿Cómo elijo entre HS256, RS256 y ES256?
HS256 usa un secreto compartido y es el más rápido, ideal para servicios únicos. RS256 usa pares de claves RSA, mejor para arquitecturas multi-servicio. ES256 usa curvas elípticas, ofreciendo alta seguridad con firmas más cortas.
¿Qué son los claims de JWT?
Los claims son declaraciones en el payload. Los registrados incluyen iss (emisor), sub (sujeto), exp (expiración), aud (audiencia). Los claims públicos pueden registrarse en IANA. Los privados son campos personalizados.
¿Cómo verifico un JWT?
Decodifique el header para obtener el algoritmo, luego use la clave adecuada (secreto compartido para HMAC, clave pública para RSA/ECDSA) para verificar la firma. También verifique exp, iss y aud.
¿Es seguro generar JWTs en el navegador?
Sí, esta herramienta usa la Web Crypto API. Sus claves y tokens nunca salen del navegador. No se envían datos a ningún servidor.
¿Cuál es la diferencia entre codificar y firmar?
Codificar (Base64) solo convierte datos a un formato transmisible y es reversible por cualquiera. Firmar crea un hash criptográfico que prueba que el token no ha sido alterado.
¿Se puede cifrar un JWT?
Sí, JWE (JSON Web Encryption) cifra el contenido del payload. El JWT estándar (JWS) solo garantiza integridad, pero el payload es legible por cualquiera que tenga el token.
¿Cuáles son las mejores prácticas de seguridad para JWT?
Siempre establezca tiempos de expiración cortos. Use secretos fuertes y aleatorios para HMAC. Guarde las claves privadas de forma segura. Nunca ponga datos sensibles en el payload. Use HTTPS en producción.
¿Cómo se compara JWT con la autenticación por sesiones?
JWT es sin estado — el servidor no almacena datos de sesión, ideal para microservicios y dominios cruzados. Las sesiones requieren almacenamiento en servidor pero permiten revocación instantánea.
¿Es JWT adecuado para cerrar sesión?
JWT es sin estado por diseño, así que cerrar sesión requiere mecanismos adicionales como listas de bloqueo o tokens de corta duración con refresh tokens. Use tokens de acceso de vida corta (ej. 15 minutos).
¿Cómo funciona el patrón de refresh token con JWT?
Use un token de acceso de corta duración (JWT) para llamadas API y un refresh token de mayor duración para obtener nuevos tokens de acceso. Cuando el token expira, el cliente envía el refresh token para obtener un nuevo JWT.
¿Qué es el algoritmo "none"?
El algoritmo "none" significa que el JWT no está firmado. Solo debe usarse para pruebas. Muchas bibliotecas lo desactivan por defecto por seguridad.
¿Hay limitaciones de tamaño en JWT?
JWT no tiene un límite fijo, pero como se envía en cabeceras HTTP, debe mantenerse bajo 4KB. Mantenga el payload mínimo, solo incluya claims necesarios.
Cómo usar Generador JWT
Crea JSON Web Tokens firmados con header, payload y secreto o clave personalizados. Elige HS256/384/512, RS256/384/512 o ES256/384/512 — todo se genera localmente en tu navegador.
- Selecciona un algoritmo en el menú desplegable: HS256, HS384 u HS512 para secretos compartidos, RS256/384/512 o ES256/384/512 para pares de claves, o 'none' para un token sin firmar.
- Edita el JSON del header y del payload, por ejemplo añadiendo claims como sub, iss y exp.
- Introduce tu secreto (para algoritmos HS*) o pega tu clave privada (para algoritmos RS* y ES*).
- Genera el token y copia el JWT resultante, separado por puntos, en tus peticiones o pruebas de API.
'none' produce un token sin firmar que la mayoría de los servidores rechazarán — úsalo solo para depurar.
Herramientas relacionadas
- Decodificador JWT Decodificador JWT online gratis. Decodifica JSON Web Tokens al instante para ver encabezado, carga y firma. Sin registro.
- Verificador de Hash Calcule y verifique hashes MD5, SHA-1, SHA-256, SHA-512 localmente
- Calculadora Chmod Calculadora chmod online gratuita para visualizar y calcular permisos de archivos Linux con casillas. Convierte instantáneamente entre notación numérica (755, 644) y simbólica (rwxr-xr-x). Soporta permisos especiales como setuid, setgid, sticky bit.
- Tabla ASCII Referencia completa de codificación de caracteres ASCII con códigos decimales, hexadecimales, octales, binarios, entidades HTML y descripciones. Búsqueda y filtro instantáneos.
- Visor Hexadecimal Vea el contenido de archivos en formato hexadecimal con búsqueda, navegación por desplazamiento y desplazamiento virtual
- Probador de Solicitudes HTTP Prueba APIs REST directamente en tu navegador. Envía solicitudes GET, POST, PUT, DELETE con headers, body y parámetros personalizados. Ve el estado, headers y cuerpo JSON al instante.
- Generador .htaccess Genere reglas .htaccess de Apache para redirecciones, reescrituras, cabeceras de seguridad, caché y más.
- Generador de Robots.txt Generador gratuito de robots.txt en línea. Cree y personalice archivos robots.txt para controlar el rastreo de motores de búsqueda, gestionar el acceso de rastreadores y optimizar el SEO de su sitio.