Decodificador JWT

Qué hace

• Encuentra el token en lo pegado: tras Bearer, en una cookie, en una URL de callback o en una respuesta OAuth con varios.
• Encabezado y claims como JSON en color, con los números de veinte dígitos conservados exactamente y un claim repetido señalado.
• Cada claim registrado y de OpenID Connect explicado; exp, iat y nbf como fechas en tu zona, con cuánto tiempo hace.
• Verifica HS, RS, PS y ES en 256, 384 y 512, y EdDSA, con PEM, certificado, JWK o conjunto de claves.
• Dice por qué falló: tipo de clave o de curva equivocado, un secreto pensado como Base64, una firma DER, un kid desconocido.
• Detecta un token firmado con una clave pública como secreto HMAC (ataque de confusión de algoritmo) o con secretos de ejemplo de jwt.io.
• Avisa de alg none, una URL de clave en el encabezado, una fecha en milisegundos, la falta de exp y secretos en los claims.

Cómo se usa

1. Pega el token, o lo que lo contenga.
2. Lee los claims y comprueba si las fechas lo dejan pasar ahora.
3. Pega el secreto o la clave pública para comprobar la firma.
4. Si falla, sigue el motivo que da.

Qué no hace

• Obtener las claves del emisor: la página no hace solicitudes, así que enlaza su documento de descubrimiento y tú pegas el conjunto de claves.
• Descifrar un token cifrado (JWE): hace falta la clave privada del destinatario, que nunca debe pegarse en una página web.
• Firmar tokens nuevos: hace falta la clave privada o el secreto de producción, las dos cosas que una página nunca debe tener.
• ES256K y Ed448: la criptografía propia del navegador no tiene ninguna de las dos curvas.

Preguntas

Se usa a menudo con

• Codificar y decodificar Base64: cada parte de un token es base64url
• Formateador JSON: los claims como árbol, con los números grandes conservados
• Conversor de timestamp Unix: los números exp e iat como fechas

Más en Desarrollo

• Probador de regex: Prueba expresiones regulares de JavaScript en vivo: coincidencias resaltadas, grupos de captura, reemplazo y el patrón explicado con palabras sencillas.
• Generador de hash: Calcula el hash de texto o archivos con MD5, SHA-1, SHA-2, SHA-3, BLAKE3, CRC-32 y más; verifica un checksum y calcula un HMAC.
• Codificar y decodificar URL: Codifica o decodifica texto para una URL distinguiendo los tipos de escape, y desarma un enlace: edita su query, quita el rastreo y mira su dominio real.
• Analizador de expresiones cron: Lee una expresión cron en palabras, mira sus próximas ejecuciones en cualquier zona horaria y qué hace un cambio de hora con ellas, o crea una; Unix, Spring, Quartz y EventBridge.