Decodificador/Codificador de JWT

¿Qué es un JWT?

Un JSON Web Token (JWT) es un estándar abierto (RFC 7519) que define una forma compacta y autocontenida de transmitir información entre partes como un objeto JSON. Esta información puede ser verificada y confiada porque está firmada digitalmente.

Estructura de un JWT

Un JWT consta de tres partes separadas por puntos (.):

• Header (Cabecera): Contiene el tipo de token y el algoritmo de firma (ej: HS256, RS256)
• Payload (Carga útil): Contiene las claims (afirmaciones) sobre el usuario y datos adicionales
• Signature (Firma): Se usa para verificar que el remitente del JWT es quien dice ser y que el mensaje no ha sido modificado

Claims estándar comunes

• iss (issuer): Emisor del token
• sub (subject): Sujeto del token (ID de usuario)
• aud (audience): Audiencia destinataria
• exp (expiration): Tiempo de expiración (timestamp Unix)
• nbf (not before): Tiempo antes del cual no es válido
• iat (issued at): Tiempo de emisión
• jti (JWT ID): Identificador único del token

Seguridad y mejores prácticas

• ✅ Siempre usa HTTPS para transmitir JWTs
• ✅ Nunca incluyas información sensible en el payload (es decodificable)
• ✅ Establece tiempos de expiración apropiados
• ✅ Usa algoritmos de firma fuertes (RS256 es preferible para producción)
• ✅ Almacena la clave secreta de forma segura (nunca en el código)
• ✅ Valida siempre la firma del token en el servidor
• ⚠️ No confíes en un JWT sin verificar su firma