AG
JWT
DECODER
Decodificador
Algoritmos
Reclamaciones
Guías
Acerca de
한국어
English
日本語
中文
Español
Português
Français
Deutsch
Русский
العربية
Bahasa Indonesia
Decodificador
/
Guías
/
Lista de comprobación de seguridad JWT
Guía
Lista de comprobación de seguridad JWT
Una breve lista con los principios clave para usar JWT de forma segura.
Rechaza alg=none y algoritmos inesperados; permite solo el algoritmo que esperas.
La carga útil no está cifrada, así que nunca pongas contraseñas, datos personales u otros secretos.
Mantén una vida corta con exp y controla la ventana de validez y la reutilización con nbf y jti.
Al verificar la firma, comprueba también que iss y aud coinciden con tus valores esperados.
Los secretos deben ser largos y aleatorios, y nunca deben exponerse al cliente.
Prueba a decodificar un token tú mismo
Solo pega y la cabecera, la carga útil y las reclamaciones se despliegan al instante.
Abrir el decodificador
Relacionados
¿Qué es un JWT?
Un JWT (JSON Web Token) es un pequeño formato de token JSON firmado para pasar información de forma segura entre partes.
La estructura de tres partes del JWT
Todo JWT consta de header.payload.signature, y cada parte está codificada en base64url.
JWT frente a autenticación por sesión
La diferencia entre la autenticación por token (JWT) y por sesión de servidor (cookie), y cuándo usar cada una.
Errores comunes de JWT y soluciones
Los errores que encuentras con más frecuencia al trabajar con JWT, con sus causas y soluciones.
Tokens de acceso y tokens de refresco
El papel del token de acceso de vida corta y del token de refresco que lo renueva.