DeveloTools

TokenSmith

Decodifica y genera JWT, con validación de firma HMAC.

100% client-side

Token JWT

Pegá un token para decodificarlo.

Header


          
Payload

          

          

        

      

    


    
    

      

        

          
Datos

          

            
            
          

          

            
            
          

          

            
            
          

          

            
            
          

        


        

          

            
Token generado

            

              
            

          

          
—

          
—

        

      

    


    

      
¿Qué es un JWT?

      
Un JWT (JSON Web Token, RFC 7519) es un texto compacto y firmado que las aplicaciones web usan para saber quién sos sin tener que consultar una base de datos en cada petición — es lo que normalmente queda guardado después de iniciar sesión para mantenerte autenticado. No está encriptado, solo firmado: cualquiera puede leer lo que contiene, pero solo quien tiene la clave secreta puede generar una firma válida. TokenSmith te permite inspeccionar uno o crear el tuyo para hacer pruebas.


      
Cómo usar TokenSmith

      
    
        
  1. Para inspeccionar un token, quedate en la pestaña Decodificar y pegalo en el campo Token JWT (o hacé clic en Ejemplo para probar con uno de muestra).
    2. 
        
  2. Los paneles Header y Payload muestran el contenido decodificado al instante.
    3. 
        
  3. Opcionalmente, escribí el secreto compartido en el campo "Secreto" para verificar que la firma HMAC sea válida.
    4. 
        
  4. Para armar un token en cambio, pasá a la pestaña Generar, elegí un algoritmo, escribí el payload en JSON y un secreto.
    5. 
        
  5. Hacé clic en Copiar para obtener el token generado.
    6. 
      


      
Cómo funciona un JWT

      
Un JSON Web Token tiene tres partes separadas por puntos: header.payload.signature, cada una codificada en Base64URL según la serialización compacta del RFC 7515 (JWS). El header describe el algoritmo (según el RFC 7518, que define HS256/HS384/HS512), el payload lleva los datos (claims), y la firma garantiza que nadie modificó el contenido sin conocer el secreto:

      
eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjMifQ.4kP...
└── header ──────────┘└── payload ───────┘└ firma ┘

      
Esta herramienta decodifica con atob y JSON.parse, y firma/verifica con crypto.subtle (HMAC-SHA) nativos del navegador — no hay librerías externas ni llamadas a un servidor.


      
Preguntas frecuentes

      

        ¿Qué algoritmos de firma puede verificar?
        
HS256, HS384 y HS512 (HMAC con clave compartida). Para algoritmos asimétricos como RS256 o ES256 se decodifica el contenido, pero no se puede verificar la firma sin la clave pública correspondiente.

      

      

        ¿Mi secreto o mi token se envían a algún servidor?
        
No. La verificación y la generación usan la API SubtleCrypto nativa del navegador; el secreto nunca sale de tu equipo.

      

      

        ¿Qué son 'exp', 'iat' y 'nbf' en el payload?
        
Son claims registrados en el RFC 7519, en segundos Unix: 'iat' cuándo se emitió el token, 'exp' cuándo expira, 'nbf' desde cuándo es válido. Esta herramienta los muestra también como fecha legible.

      

      

        ¿Puedo generar un JWT firmado desde cero?
        
Sí, en la pestaña Generar: elegís el algoritmo HMAC, escribís el payload en JSON y un secreto, y la herramienta arma y firma el token completo.

      

    


    

      
Herramientas relacionadas