Verificador de firmas JWT
Verifica la firma de un JSON Web Token con un secreto HMAC, clave pública PEM, certificado X.509, JWK o JWKS, y comprueba exp, nbf, emisor y audiencia localmente.
HS256Usa al menos tantos bytes aleatorios como el tamaño del hash (32 bytes para HS256). Las contraseñas cortas se pueden romper por fuerza bruta sin conexión.
¿Qué es Verificador JWT?
Esta herramienta verifica que un JSON Web Token se firmó con la clave que proporcionas y no ha sido modificado, y que sus claims de tiempo son válidos en este momento. Acepta un secreto compartido para HS256/384/512, o una clave pública PEM, un certificado X.509, un JWK o un JWKS para tokens RS, PS, ES y EdDSA, con comprobaciones opcionales de emisor y audiencia y tolerancia de reloj.
Cómo usar Verificador JWT
- Pega el token; se muestra el algoritmo de su cabecera.
- Introduce el secreto (HS*) o la clave pública, el certificado, el JWK o el JWKS.
- Opcionalmente fija la tolerancia de reloj, el emisor esperado y la audiencia esperada, o marca «Comprobar solo la firma».
- Pulsa Verificar y consulta el resultado; si todo es correcto, se muestran el payload y los claims de tiempo.
Ejemplo
The jwt.io sample token (HS256) with secret your-256-bit-secret
✓ Signature verified with HS256 and the time claims are valid.
Con el secreto wrong-secret el resultado es: falló la verificación de la firma.
Cuándo usar Verificador JWT
Úsalo para confirmar que un token lo emitió el servidor esperado, depurar errores de «firma no válida» o probar la rotación de claves. Sin la clave correcta, ninguna herramienta puede verificar un JWT. Evita pegar secretos de producción en cualquier sitio web; es preferible una clave pública, que se puede compartir sin riesgo.
Cómo funciona Verificador JWT
La verificación se ejecuta localmente con la biblioteca jose y Web Crypto. Solo se permite el algoritmo indicado en la cabecera del token, y alg "none" siempre se rechaza. Los tokens HMAC se verifican con los bytes UTF-8 (o decodificados de Base64) del secreto; los asimétricos, con una clave SPKI, X.509 o JWK importada o con un JWKS local (emparejado por kid). Tras la firma, exp y nbf se comparan con el reloj de tu dispositivo (más la tolerancia), e iss/aud se comparan si los introdujiste. Cada fallo se notifica con un motivo concreto.
Casos de Uso Comunes
- Comprobar si un token se firmó con la clave actual o con la antigua tras una rotación.
- Depurar por qué una pasarela rechaza tokens (caducado, audiencia incorrecta o firma errónea).
- Verificar un ID token de OpenID Connect con el JWKS del proveedor.
- Confirmar que un token no ha sido manipulado.
Nota de Seguridad
La verificación se hace en tu navegador; las claves y los tokens no se suben. Las claves públicas se pueden compartir sin riesgo; los secretos, no.
Preguntas Frecuentes
¿Puede verificar un token sin la clave?
No. Una firma solo se puede comprobar con el secreto (HMAC) o con la clave pública del emisor. Decodificar sin clave no demuestra nada.
¿Dónde consigo la clave pública?
Los proveedores OpenID Connect publican un JWKS en el jwks_uri indicado en /.well-known/openid-configuration. Pega aquí ese JSON.
¿Por qué falla aunque la firma sea válida?
Puede que el token haya caducado, que todavía no sea válido (nbf) o que tenga un emisor o una audiencia distintos de los que introdujiste. El mensaje indica qué comprobación falló.