Genera y firma JSON Web Tokens (HS256) directamente en el navegador
iat — issued at (automático)El JWT aparecerá aquí
También podrías necesitar
Los JSON Web Tokens (JWT) son el estándar de facto para autenticación stateless en APIs REST modernas. Un JWT consiste en tres partes codificadas en Base64url separadas por puntos: el header (algoritmo de firma y tipo de token), el payload (claims — afirmaciones sobre el usuario o contexto) y la signature (verificación de integridad). Esta herramienta genera JWTs firmados con el algoritmo HS256 (HMAC-SHA256) directamente en el navegador usando la Web Crypto API nativa — sin librerías externas, sin enviar ningún dato al servidor. El payload puede ser cualquier objeto JSON válido. Los claims estándar (definidos en RFC 7519) que puedes añadir son: iat (issued at — timestamp de emisión), exp (expiration — timestamp de vencimiento), iss (issuer — identificador del emisor), sub (subject — identificador del usuario o entidad). El resultado incluye visualización color-coded del JWT con el header en azul, payload en amarillo y signature en verde, y el preview del payload decodificado para verificación.
¿Qué es HS256 y cuándo usarlo?
HS256 (HMAC-SHA256) es un algoritmo de firma simétrica: usa una única clave secreta tanto para firmar como para verificar el token. Es el más simple y eficiente para arquitecturas donde el emisor y el verificador son el mismo sistema. Para arquitecturas distribuidas donde múltiples servicios necesitan verificar tokens, considera RS256 (firma asimétrica con clave privada/pública).
¿Es seguro generar JWTs en el navegador?
Para propósitos de testing y desarrollo, sí. Para producción, los JWTs con datos sensibles deben generarse en el servidor, nunca en el cliente. En el navegador, la clave secreta es visible en la memoria — cualquier extensión maliciosa o código de terceros (XSS) podría extraerla. Esta herramienta usa la Web Crypto API (que protege las claves en memoria) pero el principio de 'no exponer secretos en el cliente' sigue aplicando en producción.
¿Por qué usar exp en los tokens?
El claim exp (expiration time) define cuándo expira el token. Los tokens sin expiración son un riesgo de seguridad: si un token es robado, el atacante puede usarlo indefinidamente. Con exp, el daño queda limitado al tiempo de vida del token. Los tokens de sesión web suelen tener 15-60 minutos (con refresh tokens de días/semanas), tokens de API pueden ser de horas a días.
¿Puedo usar este JWT generado en producción?
Puedes usar el JWT generado para testear endpoints de tu API, debuggear flujos de autenticación y generar tokens de prueba en staging. Para producción, genera los tokens en tu servidor backend con las librerías oficiales de tu stack (jsonwebtoken para Node.js, PyJWT para Python, etc.). Nunca uses una clave secreta de producción en herramientas de terceros.
¿Qué diferencia hay entre JWT y session cookies?
Las sessions cookies tradicionales almacenan solo un ID de sesión en el cliente; el servidor mantiene el estado de la sesión en base de datos o memoria. Los JWT contienen el estado directamente en el token (stateless): el servidor solo necesita la clave para verificar — sin consultas a base de datos. Las ventajas de JWT: escalabilidad horizontal, compatibilidad con microservicios, perfecto para APIs móviles. La desventaja: no puedes invalidar un JWT hasta que expire sin implementar una blacklist.