Generador de JWT

Un generador de JWT que construye y firma JSON Web Tokens a partir de tu carga útil y tu secreto, íntegramente en tu navegador usando la Web Crypto API. Se combina con el decodificador de JWT, que inspecciona un token existente.

Un JWT tiene tres partes separadas por puntos: una cabecera, una carga útil de claims y una firma, cada una codificada en Base64url. La firma es lo que hace que el token sea fiable: demuestra que la carga útil no ha sido alterada y que fue emitida por alguien que posee el secreto.

Esta herramienta firma con HS256, es decir HMAC usando SHA-256, el algoritmo simétrico de JWT más común. El mismo secreto firma y verifica el token, así que debe mantenerse privado en el servidor.

Para HS256, usa un secreto largo y aleatorio. Un secreto corto o adivinable socava todo el token, ya que cualquiera que lo adivine puede acuñar sus propios tokens válidos.

Un punto importante sobre los JWT: la carga útil solo está codificada, no cifrada. Cualquiera que tenga el token puede leer sus claims decodificándolos con Base64, así que nunca pongas contraseñas ni datos sensibles en un JWT. La firma impide la manipulación, no proporciona secreto.

Como la firma ocurre localmente, tu secreto y tu carga útil nunca salen de tu dispositivo. Aun así, evita pegar secretos reales de producción en un ordenador compartido o público.