Elysia Tools
Navegación
Workflow Playbook
Prepara fixtures de autenticación saneados, separa generar tokens de decodificarlos y verificarlos, prueba el tiempo de OTP/TOTP y audita evidencias JWT y de sesión sin exponer secretos reales.
Temas
Usa este flujo solo para un fixture sintético propio o para material de autenticación cubierto por una autorización explícita. Antes de empezar, describe el flujo que quieres reproducir, los claims y algoritmos esperados, el reloj o contador fijado y la persona que revisará la evidencia. Mantén fuera del tool y del informe los access tokens, refresh tokens, cookies, secretos compartidos, claves privadas y códigos de recuperación reales.
Crea un ID de correlación y un nonce desechables con secure-random-generator, nonce-generator y uuid-generator, y valida el formato del identificador. Después usa jwt-generator para cubrir el caso con claims sintéticos. En MFA, otp-generator sirve para códigos numéricos independientes; totp-hotp-offline-generator sirve para una semilla Base32 desechable y un paso temporal o contador fijo. Anota los valores esperados para que un fallo sea reproducible y no una suposición.
jwt-decoder y base64url-encoder responden si el token tiene una estructura interpretable y cómo están codificados sus segmentos, pero no prueban autenticidad. jwk-generator puede crear o inspeccionar una clave desechable o un JWK público autorizado; no importes una clave privada de producción para forzar un resultado local. Usa hmac-generator-verifier y las comprobaciones compatibles de firma o expiración de jwt-decoder-security-auditor solo con material controlado y expectativas explícitas.
Después de verificar, revisa algoritmo, expiración y validez temporal, claims sensibles, supuestos de tiempo o contador de TOTP/HOTP y relación entre evidencia e ID de petición o sesión. Un resultado de decodificación, una firma coincidente y un hallazgo de seguridad contestan preguntas distintas. Regístralos por separado para no convertir un token interpretable en una sesión autorizada.
El paquete final debe incluir alcance, versión del fixture, ID de correlación, resultados esperados y observados, fragmentos redactados o huellas, incertidumbre residual y siguiente acción autorizada. No debe incluir un secreto reutilizable ni material de sesión activo. El resultado local sirve para depurar; solo una prueba autorizada de la aplicación puede establecer cómo trató el servidor la petición.
Guía de flujo de trabajo
Genera material aleatorio desechable, un nonce o valor relacionado con PKCE y un ID de correlación de petición o sesión. Valida el formato UUID, separa el fixture original de los logs y marca cada valor como exclusivo de pruebas antes de usarlo.
Usa jwt-generator para crear un token sintético con variaciones deliberadas de claims y genera después un OTP independiente o un valor TOTP/HOTP RFC a partir de una semilla de prueba desechable. Guarda junto al fixture los claims, el paso temporal, el contador y el código esperados, nunca en un log de producción.
Inspecciona header y payload con jwt-decoder y revisa la representación de segmentos JWT o PKCE con base64url-encoder. Usa jwk-generator solo con una clave sintética o un JWK público autorizado; compara kid y algoritmo sin importar una clave privada.
Usa secure-random-generator, nonce-generator y uuid-generator para crear material de prueba nuevo. Si ya tienes una captura autorizada, conserva solo el valor saneado mínimo para el análisis y no confundas que un token se pueda decodificar con que sea confiable.
Elige otp-generator para un código numérico independiente, como un fixture de SMS o correo. Elige totp-hotp-offline-generator cuando el caso incluya una semilla Base32 compartida, un paso temporal o un contador, siempre con una semilla desechable de prueba.
jwt-decoder y base64url-encoder explican la estructura y la codificación. hmac-generator-verifier y las comprobaciones compatibles de jwt-decoder-security-auditor prueban una firma o condición conocida. La revisión final de seguridad debe auditar por separado algoritmo, expiración, claims sensibles y manejo de la evidencia.
Con el fixture desechable, usa hmac-generator-verifier para comparar un mensaje conocido y un secreto de prueba, y jwt-decoder-security-auditor para sus comprobaciones compatibles de firma HS256 o RS256 y expiración. Si sospechas deriva temporal, repite TOTP o HOTP con el tiempo o contador registrado; coincidir localmente no demuestra que el servidor lo aceptara.
Revisa por separado el algoritmo, la expiración y validez temporal, los claims sensibles, las ventanas del código y la trazabilidad. Conserva solo metadatos saneados, resultados, huellas o fragmentos redactados, el ID de correlación, la incertidumbre residual y la acción autorizada; elimina secretos y material de sesión activo.