Elysia Tools
Navegación
Workflow Playbook
Crea un JWT de prueba controlado o inspecciona una muestra autorizada para revisar claims, algoritmo, caducidad, campos sensibles y evidencia de firma sin confundir decodificación con verificación.
Temas
Este flujo sirve a desarrolladores, equipos de identidad y revisores que necesitan una conclusión comprobable sobre una muestra JWT. Empieza con un token sintético o autorizado, documenta la política del servicio y separa tres objetivos: construir un fixture, inspeccionar la estructura y revisar riesgos. Un token sigue siendo sensible aunque solo se use para depurar.
Cuando necesites un caso repetible, usa jwt-generator para fijar claims y tiempos de prueba. Usa jwt-decoder para observar el header y el payload y comprobar la presencia de iss, aud, iat, nbf y exp. No presentes esto como verificación: decodificar muestra datos codificados, pero no prueba quién firmó el token.
Después ejecuta jwt-decoder-security-auditor. Puede señalar el algoritmo, el estado de la firma, problemas de tiempo y nombres de claims sensibles; con una clave autorizada también puede comprobar las rutas HS256 o RS256 que admite. Si no hay clave, el resultado es no verificado.
Compara los hallazgos con los algoritmos permitidos, issuer y audience esperados, tolerancia de reloj y tratamiento de la expiración del servicio. Tras corregir el fixture, repite la revisión solo con datos redactados y registra aceptar, corregir o bloquear. Para una cobertura más amplia de credenciales consulta auth-token-security; para claves y firmas fuera del alcance JWT consulta key-generation-signature-verification.
Guía de flujo de trabajo
Genera un JWT no productivo con issuer, audience, subject, caducidad y claims personalizados opcionales elegidos para el caso. Conserva el secreto solo como material de prueba y anota el algoritmo esperado.
Decodifica la muestra autorizada o el fixture generado y revisa header y payload como datos separados. Comprueba los claims temporales presentes y deja claro que este paso no demuestra que la firma sea válida.
Pasa la misma muestra controlada al auditor para detectar riesgos de algoritmo, estado de firma, fechas expiradas o futuras, ausencia de issuer o audience y nombres de claims posiblemente sensibles. Solo proporciona una clave si estás autorizado.
Resuelve únicamente los hallazgos relacionados con el objetivo de la prueba, vuelve a ejecutar el auditor con un fixture redactado y registra qué observaciones se aceptan, cuáles exigen cambiar la política y cuáles siguen sin verificar por falta de clave.
Usa jwt-generator para crear claims, tiempos y algoritmo predecibles en una prueba. Usa jwt-decoder cuando debas estudiar una muestra autorizada y generar otro token podría ocultar el comportamiento que buscas.
jwt-decoder muestra el header y el payload, pero no valida la firma. Usa jwt-decoder-security-auditor para los hallazgos de seguridad y aporta un secreto HS256 o una clave pública RS256 solo si tienes autorización para comprobar la firma.
Conserva el tipo de hallazgo y el nombre del claim si ayudan a revisar, pero oculta valores que identifiquen a un usuario, tenant, sesión, correo o credencial. Un payload decodificado es base64url legible, no contenido cifrado.