Decodificador JWT: qué hay dentro de un token y qué no

las tres partes

• Encabezado: el algoritmo de firma (`alg`) y el tipo de token (`typ`), por ejemplo HS256.
• Carga útil: las afirmaciones: de quién se trata el token, cuándo se emitió y cuándo vence.
• Firma: calculada en los dos primeros segmentos con la clave del emisor, razón por la cual un decodificador la muestra pero no puede verificarla.

                eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 . eyJzdWIiOiIxMjMiLCJleHAiOjE3NjAwMDAwMDB9 . signature
           header                            payload                       signature
              

Las afirmaciones que explican la mayoría de los fracasos

• `exp` (vencimiento): la causa más común de un 401. Un token que expiró hace dos minutos se rechaza antes de examinar cualquier otra cosa.
• `nbf` (no antes): la imagen reflejada: un token utilizado antes de que se rechace su ventana de validez.
• `iat` (emitido en): útil para calcular la antigüedad de una sesión y para detectar relojes que no coinciden.
• `aud` (audiencia) y `iss` (emisor): las discrepancias aquí significan que el token es válido pero se emitió para un servicio diferente, lo que falla de manera confusa.

Los reclamos de tiempo son segundos UTC desde la época de Unix. Si un token parece válido pero vence demasiado pronto o tarde, verifique si hay un problema de reloj o una carga útil que transporta milisegundos donde se esperaban segundos.

Por qué nunca debes confiar ciegamente en `alg`

Dos ataques tienen la edad suficiente para ser famosos y todavía aparecen en estado salvaje. El algoritmo `none` le dice al verificador que no hay ninguna firma; un servidor que lee el encabezado en lugar de aplicar su propio algoritmo esperado lo acepta. Y en la confusión RSA/HS, un atacante firma con la clave pública como un secreto HMAC, engañando a un servidor que acepta ambas familias. La defensa en ambos casos reside en el verificador, no en el descodificador: fijar el algoritmo esperado en el lado del servidor y nunca derivarlo del propio token.

Decodifica localmente, siempre

Un JWT es una credencial: quien la posee puede actuar como usuario hasta que caduque. Pegar uno real en un sitio web que lo publica en un servidor entrega una sesión en vivo sin ningún beneficio, ya que la decodificación es una aritmética de URL base64 que cualquier navegador puede realizar en microsegundos. El decodificador YamlBox JWT analiza el token en la página, muestra las indicaciones de la marca de tiempo como fechas UTC legibles y sigue trabajando con la red desactivada: el único tipo de decodificador que vale la pena usar en un token de producción.

Una rutina de depuración que funciona

1. Decodifica y lee `exp` primero: la mitad de todos los informes de “tokens no válidos” terminan aquí.
2. Verifique `aud` y `iss` con lo que espera el API, luego `nbf` para ver el desfase del reloj.
3. Compare las afirmaciones decodificadas con lo que asume su código sobre roles o alcances.
4. Si las afirmaciones parecen correctas y aún así fallan, el problema es la verificación: clave incorrecta, secreto rotado o un algoritmo que no coincide.