¿Qué formato debe cumplir el parámetro code_verifier?

Debe ser una cadena de entre 43 y 128 caracteres formada únicamente por caracteres no reservados (A-Z, a-z, 0-9, guion, punto, guion bajo y tilde).

Visualizador del flujo OAuth 2.0 / OIDC con código de autorización y PKCE | Herramienta online gratis

Visualizador del flujo OAuth 2.0 / OIDC con código de autorización y PKCE | Herramienta online gratis | Elysia Tools

Guía de uso de la herramienta

Conoce cuándo usar esta herramienta, qué admite y cómo la aplican los usuarios.

Datos clave

Categoría: Development
Tipos de entrada: select, text, checkbox
Tipo de salida: html
Cobertura de ejemplos: 4
API disponible: Sí

Resumen

Este visualizador interactivo simula de principio a fin el flujo de Código de Autorización con PKCE bajo los estándares OAuth 2.0 y OpenID Connect. Permite calcular desafíos criptográficos S256 y plain, inspeccionar la URL de autorización y el canje de tokens, validar el ID Token con las nueve comprobaciones del estándar OIDC Core §3.1.3.7 y evaluar mediante un carril comparativo cómo PKCE neutraliza los ataques de interceptación en clientes públicos.

Cuándo usarlo

Al diseñar, depurar o verificar la integración de autenticación OAuth 2.0 y OpenID Connect en aplicaciones SPA o móviles.
Cuando se requiere auditar la derivación de code_challenge S256 y verificar la integridad de los claims del ID Token como at_hash y nonce.
Para sesiones formativas o revisiones de seguridad donde se necesita evidenciar el riesgo de omitir PKCE frente a la interceptación de códigos.

Cómo funciona

1Selecciona la variante del flujo (PKCE S256, plain o sin PKCE) y define los parámetros del cliente, emisor, scopes, state y nonce.
2El simulador deriva el code_challenge mediante SHA-256 y Base64URL (en modo S256) y genera tanto la URL de autorización como el cuerpo de la petición de intercambio de tokens.
3Examina la respuesta simulada que incluye los tokens y una lista de verificación paso a paso con nueve reglas de validación del ID Token según OIDC Core §3.1.3.7.
4Si se activa la simulación de ataque, analiza el carril del atacante para contrastar cómo el servidor autoriza o rechaza el canje del código según la presencia del code_verifier.

Casos de uso

Verificación previa de parámetros y derivación criptográfica antes de implementar clientes OAuth en frontend.
Demostración didáctica del flujo de autenticación seguro y de la mitigación de vectores de ataque en canal frontal.
Diagnóstico de discrepancias en la validación de tokens JWT e inconsistencias en claims de sesión OIDC.

Ejemplos

1. Ruta segura con PKCE S256 y validación OIDC completa

Desarrollador Frontend

Contexto

Está integrando OpenID Connect en una aplicación Single Page Application y necesita comprobar los parámetros exactos antes de implementar la librería cliente.

Problema

Asegurar que la derivación del code_challenge y la estructura del ID Token cumplan las especificaciones RFC 7636 y OIDC Core.

Cómo usarlo

Selecciona 'PKCE S256 (recomendado)', ingresa los identificadores de prueba para issuer, clientId y scopes, y ejecuta la simulación.

flowVariant: 's256', codeVerifier: 'dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1gFWFOEjXk', scope: 'openid profile email', clientId: 'spa-demo-client'

Resultado

Genera la URL de autorización con el hash S256 correspondiente, la solicitud de token y el desglose de 9/9 validaciones del ID Token aprobadas con at_hash verificado.

2. Demostración de interceptación de código sin PKCE

Auditor de Seguridad

Contexto

Desea mostrar a su equipo de desarrollo el impacto de no utilizar PKCE en clientes públicos que manejan redirecciones en el navegador.

Problema

Ilustrar cómo un atacante con acceso al código de autorización puede canjearlo si el servidor no exige un code_verifier vinculante.

Preguntas frecuentes

¿Cuál es la diferencia entre la variante PKCE S256 y plain?

S256 transforma el code_verifier aplicando SHA-256 y codificación Base64URL para ocultar el secreto original, mientras que plain envía el valor tal cual; S256 es la opción obligatoria y recomendada por seguridad.

¿Esta herramienta realiza peticiones de red externas a servidores reales?

No, todo el flujo se ejecuta de forma local y offline en el navegador con un reloj determinista para garantizar resultados reproducibles.

¿Qué valida la lista de comprobación de OIDC Core §3.1.3.7?

Verifica emisor (iss), audiencia (aud), parte autorizada (azp), firma criptográfica, algoritmo (alg), expiración (exp), fecha de emisión (iat), nonce y concordancia del access token (at_hash).

¿Cómo previene PKCE el ataque de interceptación del código de autorización?

Obliga al cliente a presentar el code_verifier original al canjear el código en el canal trasero; el atacante que interceptó el código no posee dicho verifier y el servidor rechaza la solicitud.

flowVariant: 'none', simulateAttack: true, clientId: 'spa-demo-client', state: 'st-attack-demo', nonce: 'n-attack-demo'

Visualizador del flujo OAuth 2.0 / OIDC con código de autorización y PKCE

Qué te ayuda a hacer esta herramienta

Ejecutar esta herramienta

Ejemplos que encajan con esta herramienta

Continuar con herramientas y temas relacionados

Conoce cuándo usar esta herramienta, qué admite y cómo la aplican los usuarios.

Datos clave

Resumen

Cuándo usarlo

Cómo funciona

Casos de uso

Ejemplos

1. Ruta segura con PKCE S256 y validación OIDC completa

2. Demostración de interceptación de código sin PKCE

Preguntas frecuentes

Ejemplos de Comentarios de Código

Ejemplos OAuth 2.0 & OpenID Connect

Ejemplos de Códigos QR

Ejemplos OAuth 2.0

Generador de PKCE Code Verifier y Challenge

Generador de frases mnemónicas BIP39

Comparador de algoritmos hash

Generador de puzles Kakuro / Fillomino / Masyu / Yajilin / Hashiwokakero / Nurikabe / Slitherlink / Star Battle con probador de unicidad