Criptografía y Privacidad en Local
Inspector de Tokens JWT Online
Decodifica y analiza tokens JSON Web Token (JWT) con privacidad total: la inspección se realiza al 100% en tu navegador mediante JavaScript sin enviar nada a la red.
Privacidad absoluta: procesado de forma aislada en tu dispositivo
Header
•
Payload
•
Signature
HEADER (Algoritmo & Tipo)
{}
PAYLOAD (Datos & Claims)
{}
Dudas resueltas
Preguntas sobre tokens JWT y seguridad
¿Qué es un JSON Web Token (JWT) y cómo está estructurado?
Un JWT es un estándar abierto (RFC 7519) para transmitir información de forma compacta y segura entre partes en formato JSON. Se compone de tres partes separadas por puntos (Header.Payload.Signature), codificadas en Base64Url.
¿Es seguro pegar mis tokens en este decodificador?
Sí, con garantía absoluta. A diferencia de otras herramientas que envían los tokens al servidor, nuestro inspector procesa y decodifica el token 100% de manera local en el motor JavaScript de tu propio navegador. Ningún dato ni secreto viaja jamás a través de la red.
¿Por qué la vulnerabilidad del algoritmo "none" es tan crítica?
Si una API acepta tokens con "alg": "none", cualquier atacante puede alterar los permisos o el identificador de usuario en el Payload y eliminar la firma. El servidor aceptará el token como legítimo, permitiendo la suplantación de cualquier cuenta (incluso administradores).
¿Debería almacenar contraseñas o datos confidenciales en el Payload?
No, jamás. Los tokens JWT estándar están firmados, pero NO cifrados (solo codificados en Base64). Cualquier persona con acceso al token puede leer su contenido íntegro. Nunca almacenes claves privadas, contraseñas ni números de tarjeta dentro del token.
¿Cómo gestionar de forma segura los secretos y claves de firma de JWT en mi empresa?
Lo más recomendable es utilizar un almacén de credenciales seguro con cifrado de conocimiento cero. Para proteger las claves de tu equipo técnico y evitar fugas de código, puedes utilizar Medel Vault, nuestro gestor de contraseñas y secretos corporativo.