Decodificador JWT

Tres trozos de texto unidos por puntos

Una vez que has iniciado sesión en un sitio web, el servidor tiene que reconocerte en la siguiente petición. Una forma habitual de hacerlo es entregar a tu navegador una nota breve y firmada que dice “este es el usuario 48213, con permiso para leer pedidos, hasta las 3:15 pm”. Esa nota es un JSON Web Token, o JWT.

Un JWT parece una cadena larga y aleatoria, pero siempre tiene la misma forma, header.payload.signature.

• La cabecera (header) es un pequeño objeto JSON que nombra el algoritmo de firma (alg) y a menudo la clave que se usó (kid).
• El payload es un objeto JSON de claims, que son afirmaciones como sub (quién), aud (para qué servicio) y exp (hasta cuándo).
• La firma (signature) es un sello calculado a partir de los dos primeros trozos y una clave.

La cabecera y el payload se escriben en Base64URL, una manera de deletrear bytes con letras, dígitos, - y _ para que sobrevivan al viaje por una dirección o una cabecera HTTP. Por eso casi todos los tokens empiezan por eyJ, que es cómo sale {" en esa codificación.

Codificado no es cifrado

Base64URL es una forma de deletrear. No cierra nada con llave, y volver a convertirlo en texto no requiere ninguna clave, que es todo lo que hace esta página. Así que un JWT firmado no oculta absolutamente nada. Si el payload contiene un correo electrónico, un rol o un ID interno, cualquiera que se haga con el token puede leerlo, sea una extensión del navegador, el registro de un proxy o una captura de pantalla.

Lo que te da la firma es integridad. Cambia un solo carácter del payload y el sello ya no coincide, así que el servidor rechaza el token. La gente aún puede leerlo. Solo que no puede reescribirlo.

Qué lee esta página y qué señala

El decodificador quita un Bearer inicial, los espacios y los saltos de línea, divide el token e imprime la cabecera y el payload como JSON con formato. Después repasa los claims uno por uno. Las tres fechas, exp, nbf (not before, no antes de) e iat (issued at, emitido en), son números de segundos desde el 1 de enero de 1970. Las ves en tu zona horaria y en UTC, con una cuenta en vivo como “válido durante 12 minutos más”.

También recibes unas palabras sobre el algoritmo. HS256 usa un secreto compartido para firmar y para comprobar. RS256, ES256 y EdDSA usan un par de claves, donde una clave privada firma y una clave pública comprueba, de modo que los servicios que solo comprueban tokens no pueden crearlos.

Lo que decodificar no puede decirte

Esta página no comprueba la firma. Para eso haría falta el secreto o la clave pública del emisor, y una página que te pide tu secreto de firma es una página que hay que cerrar. Por eso, aquí un token falsificado y uno auténtico se ven igual. Lee el resultado como “esto es lo que el token afirma”, nunca como “este token es válido”.

Por la misma razón, “no caducado” solo significa que exp es posterior al reloj de tu dispositivo. Puede que el servidor haya revocado el token hace una hora.

Si estás escribiendo la parte receptora, las comprobaciones que cuentan se hacen en tu código. Acepta solo los algoritmos que esperas, verifica la firma con una clave en la que ya confías y después compara iss, aud y exp con lo que esperas. Usa una biblioteca mantenida y nunca tomes decisiones según el alg que pide el token.

Un token activo es una credencial

Hasta que caduca, un token bearer funciona para quien lo presente. Si pegas un token de producción en un sitio web, se lo has entregado a ese sitio web, a menos que la decodificación ocurra en tu navegador. Aquí ocurre. Ninguna petición lleva el token, no se escribe en la barra de direcciones y no se guarda en el almacenamiento del navegador. No tienes que fiarte de nuestra palabra: mira la pestaña de red de las herramientas de desarrollo, o carga la página y desconéctate antes de pegar.

Aun así, el hábito más seguro es depurar con tokens de una cuenta de prueba o con tokens caducados. Si un token real acaba en un chat, en un ticket o en un registro público, cierra sesión en todas partes o pide al emisor que lo revoque.