Generador de JWT online gratis

El JWT Generator es una herramienta en línea gratuita que crea y firma JSON Web Tokens para pruebas de autenticación y fines de desarrollo.

Sí, es completamente gratuito y no requiere registro. Toda la generación de tokens ocurre del lado del cliente en tu navegador, y tu clave secreta nunca se transmite.

El JWT Generator admite HS256, HS384, HS512 y otros algoritmos de firma comunes utilizados en la autenticación JWT.

Por supuesto. El JWT Generator procesa todo del lado del cliente en tu navegador. No se sube ni se almacena ningún dato en ningún servidor. Tu contenido permanece privado en tu dispositivo en todo momento.

Sí, el JWT Generator es totalmente adaptable y funciona en smartphones y tablets. Puedes usarlo en cualquier dispositivo con un navegador web moderno, sin necesidad de descargar ninguna aplicación.

No se necesita ninguna cuenta ni registro. Solo abre el JWT Generator en tu navegador y empieza a usarlo de inmediato. No hay muros de registro ni restricciones de uso.

Solo introduce tu entrada en el campo correspondiente, ajusta la configuración a tu gusto y la herramienta la procesará al instante. Luego puedes copiar el resultado al portapapeles o descargarlo.

El JWT Generator funciona en todos los navegadores modernos, incluidos Chrome, Firefox, Safari, Edge y Opera. Para una mejor experiencia, usa la última versión de tu navegador preferido.

Ambos producen una firma basada en SHA, pero el modelo de claves es completamente distinto. HS256 (y HS384/HS512) usa HMAC: un único secreto compartido firma el token y lo verifica, así que cualquier parte que pueda comprobar la firma también podría falsificar una. RS256 (y RS384/RS512) se basa en RSA y es asimétrico: una clave privada firma el token mientras que una clave pública independiente lo verifica, por lo que puedes entregar la clave pública a muchos servicios sin permitirles emitir tokens. Como regla general, usa HMAC cuando un único backend de confianza emite y valida los tokens, y usa RSA cuando los verificadores no deben tener la clave de firma, como terceros o una API pública. Este generador firma con los seis algoritmos usando la Web Crypto API del navegador, y puede generar un par de claves RSA de 2048 bits para que pruebes RS256 de principio a fin.

Sí. Un JWT está firmado, no cifrado, así que cualquiera que tenga el token puede decodificar y leer su payload. La cabecera y el payload solo están codificados en Base64URL, no cifrados, y cualquier decodificador, incluido este, los revierte al instante sin necesidad de una clave. La firma solo garantiza que el token no ha sido alterado desde que se emitió; no oculta el contenido. Esto significa que nunca deberías colocar contraseñas, secretos de API o datos personales sensibles en los claims de un JWT. Trata el payload como información pública que, además, es a prueba de manipulación. Si realmente necesitas que el contenido quede oculto, necesitas un token cifrado (JWE), que es un mecanismo distinto. Pega cualquier token en el decodificador de esta herramienta para ver exactamente qué leería un receptor y confirmar que no se expone nada sensible.

Son claims de tiempo registrados, almacenados como marcas de tiempo Unix en segundos. El claim iat (issued-at) registra cuándo se creó el token. El claim exp (expiration) establece cuándo deja de ser válido: los verificadores rechazan el token en cuanto la hora actual supera exp. El claim nbf (not-before) es lo contrario: el token no es válido hasta que la hora actual alcanza nbf, lo cual es útil para tokens que deben activarse más adelante. Mantener ventanas de exp cortas limita el daño si un token se filtra, ya que los refresh tokens se encargan de las sesiones más largas. Este generador rellena iat y exp automáticamente con ajustes preestablecidos de un clic de 15m, 1h, 24h, 7d, 30d y 1 año, y te permite activar un claim nbf. Cuando decodificas un token aquí, también te indica si ha expirado y cuánto tiempo falta o ha pasado desde exp.

La verificación recalcula la firma sobre la cabecera y el payload del token usando la clave correcta y comprueba que coincide con la firma adjunta al token. Para los algoritmos HMAC (HS256/384/512) proporcionas el mismo secreto compartido usado para firmar; para los algoritmos RSA (RS256/384/512) proporcionas la clave pública correspondiente en formato PEM. Si el valor recalculado coincide, el token es auténtico y no ha sido alterado; si no coincide, fue modificado o firmado con una clave distinta. Sin embargo, la verificación por sí sola no es suficiente: el código en producción también debería comprobar exp, nbf, iss y aud antes de confiar en un token. Pega un token en el decodificador de esta herramienta, aporta el secreto o la clave pública, y verificará la firma criptográficamente en tu navegador usando Web Crypto, de modo que el resultado refleja una validación real y no una suposición.

Un token puede estar perfectamente bien formado y aun así fallar la validación por razones ajenas a sus claims. La causa más común es un desajuste de secreto o clave: incluso un espacio final, una codificación de caracteres incorrecta, o un secreto en Base64 pegado como texto plano cambia la firma y hace que la verificación falle. Otra causa es el algoritmo: verificar un token RS256 con un secreto HMAC, o viceversa, nunca coincidirá. Los claims de tiempo también importan: un exp expirado o un nbf futuro marcan el token como inválido incluso cuando la firma es correcta. Por último, cualquier edición de la cabecera o el payload después de firmar rompe la firma, ya que se calcula sobre ambos. Usa esta herramienta para decodificar el token, confirmar el algoritmo en la cabecera, revisar las marcas de tiempo exp y nbf, y volver a verificar con el secreto o la clave pública exactos para identificar cuál de estas causas es la responsable.