Datos clave
- Categoría
- Seguridad y validación
- Tipos de entrada
- textarea, text
- Tipo de salida
- html
- Cobertura de muestras
- 4
- API disponible
- Yes
Resumen
Un decodificador y auditor de seguridad diseñado para ingenieros full-stack y de seguridad. Esta herramienta permite inspeccionar el encabezado y la carga útil (payload) de un token JWT, validar firmas utilizando algoritmos HS256 o RS256, e identificar rápidamente riesgos potenciales como fechas de expiración vencidas, algoritmos inseguros o exposición de datos sensibles en los claims.
Cuándo usarlo
- •Cuando necesites depurar problemas de autenticación o autorización en aplicaciones web y APIs.
- •Al auditar la seguridad de tokens JWT para detectar configuraciones vulnerables o claims expuestos.
- •Para verificar rápidamente si la firma de un token es válida utilizando una clave secreta HMAC o una clave pública RSA.
Cómo funciona
- •Pega la cadena de tu token JWT en el campo principal.
- •Opcionalmente, introduce tu secreto HMAC o clave pública RSA PEM para validar la firma del token.
- •La herramienta decodificará el token, separando el encabezado y el payload en un formato legible.
- •Se generará un reporte en HTML mostrando el estado de la firma y marcando cualquier riesgo de seguridad detectado en los claims.
Casos de uso
Ejemplos
1. Auditoría de token con firma HS256
Ingeniero Full-Stack- Contexto
- Un desarrollador está implementando autenticación en una API de Node.js y los usuarios reportan que sus sesiones se cierran inesperadamente.
- Problema
- Necesita verificar si el token JWT se está generando con la fecha de expiración correcta y si la firma coincide con el secreto del servidor.
- Cómo usarlo
- Pega el token JWT en el campo principal y añade el secreto del servidor en el campo 'Secreto HMAC'.
- Configuración de ejemplo
-
jwtToken: "eyJhbGciOiJIUzI1Ni..." hmacSecret: "super-secret-demo-key" - Resultado
- La herramienta decodifica el payload, confirma que la firma es válida y resalta que el claim 'exp' indica que el token ya expiró.
2. Validación de token RS256 de un IdP
Ingeniero de Seguridad- Contexto
- El equipo de seguridad está revisando la integración de un nuevo proveedor de identidad (IdP) que emite tokens asimétricos.
- Problema
- Requiere confirmar que el token está correctamente firmado por el IdP y no contiene roles excesivos o datos sensibles expuestos.
- Cómo usarlo
- Introduce el token JWT proporcionado por el IdP y pega la clave pública en formato PEM en el campo 'Clave pública RSA PEM'.
- Configuración de ejemplo
-
jwtToken: "eyJhbGciOiJSUzI1Ni..." rsaPublicKey: "-----BEGIN PUBLIC KEY-----\n..." - Resultado
- Se muestra el payload decodificado con los roles del usuario, se verifica la firma RSA y se genera una alerta si se detectan claims con información confidencial.
Probar con muestras
securityPreguntas frecuentes
¿Qué algoritmos de firma soporta esta herramienta?
Actualmente soporta la validación de firmas para los algoritmos HS256 (usando un secreto HMAC) y RS256 (usando una clave pública RSA).
¿Puedo decodificar un token sin la clave secreta?
Sí, puedes decodificar y leer el encabezado y el payload sin la clave, pero no podrás verificar la validez de la firma.
¿Qué tipo de riesgos de seguridad detecta?
Identifica problemas comunes como tokens expirados (claim 'exp'), uso del algoritmo 'none', y la presencia de información sensible en texto plano.
¿Qué formato debe tener la clave pública RSA?
Debe estar en formato PEM, comenzando estrictamente con '-----BEGIN PUBLIC KEY-----'.
¿Es seguro usar tokens de producción aquí?
La herramienta procesa el token para decodificarlo y auditarlo sin almacenar tus claves. Sin embargo, como buena práctica de seguridad, se recomienda no utilizar tokens de producción activos con secretos reales en entornos de depuración.