Herramientas de desarrollador
Decodificador JWT
Un token es a menudo una credencial que funciona, pero éste la decodifica en su navegador, el único lugar sensato para hacerlo.
- Se ejecuta en su navegador
- No se ha cargado nada
La herramienta
Pegue un token a continuación. Se decodifica en este navegador y nunca se envía a ninguna parte.
Todo lo que ingresa permanece en su propia máquina. No se envía nada a nosotros ni a nadie más, lo cual puede confirmar en la pestaña de red de su navegador.
Para qué lo usa la gente
- Comprobando por qué una llamada API devuelve 401
- Confirmación de las afirmaciones que realmente contiene un token
- Leyendo la expiración de un token sin una línea de comando
- Depuración de un inicio de sesión que funciona localmente y falla en la preparación
- Inspeccionando un token que preferirías no pegar en un servidor extraño
Acerca de esta herramienta
Por qué esto es más importante que la mayoría de las herramientas
Un JWT de un sistema activo suele ser una credencial funcional. Cualquiera que lo tenga puede actuar como ese usuario hasta que caduque. Pegar uno en un decodificador en línea le otorga a un extraño una sesión, y la mayoría de esos sitios realizan la decodificación en su servidor en lugar de en su navegador. Este hace el trabajo localmente, lo cual puedes confirmar en la pestaña de red.
La decodificación no es verificación
Aquí se lee lo que afirma un token. No verifica la firma, porque para verificarla se necesita la clave pública o secreta que posee el emisor. Un token se puede editar libremente y aún así se decodificará perfectamente, razón por la cual un servidor debe verificar en lugar de simplemente decodificarlo. Si está construyendo el extremo receptor, verifique la firma antes de confiar en un solo reclamo.
¿Cuáles son las tres partes?
Un token es encabezado, carga útil y firma, separados por puntos y codificados como base64url. El encabezado nombra el algoritmo. La carga útil incluye los reclamos: para quién es el token, quién lo emitió, cuándo se emitió y cuándo vence. La firma es lo que hace que los dos primeros sean confiables, y sólo para alguien que tenga la clave.
Leyendo los tiempos
El exp, iat y nbf las reclamaciones son marcas de tiempo de Unix en segundos. Esto los convierte y dice si el token ha caducado. Un token vencido que todavía se acepta es un hallazgo que vale la pena perseguir, al igual que un token que no tiene vencimiento alguno.
¿Necesita gestionar esto en todo un sitio web? Vea nuestro Desarrollo Web Backend y Aplicaciones Web Personalizadas página.
Más herramientas y servicios
- Formateador y validador JSON
- Decodificador y codificador Base64
- Codificador y decodificador de URL
- Convertidor de color y comprobador de contraste
- Generador de UUID
- Convertidor de marca de tiempo de Unix
Si prefiere que alguien haga esto correctamente por usted, le ofrecemos Servicios de Diseño Web y Desarrollo de Sitios Web., Servicios SEO: Optimización de motores de búsqueda, posicionamiento web y publicidad en redes sociales, Agencia de automatización de IA.
Preguntas
Preguntas sobre esta herramienta
Las cosas que los clientes realmente quieren saber: costos, plazos, propiedad y qué sucede después del lanzamiento.
No. Su navegador lo decodifica y no hay ninguna solicitud detrás. Esto es importante porque un token suele ser una credencial activa.
No, y nada que se decodifique en un navegador puede hacerlo. La verificación necesita la clave del emisor. La decodificación le dice lo que afirma un token, nunca si las afirmaciones son genuinas.
La reclamación exp es una marca de tiempo de Unix en segundos. Si es en el pasado, el token ha caducado y un servidor construido correctamente lo rechazará.
No. Un JWE está cifrado en lugar de simplemente codificado y no se puede leer sin la clave.
Es más seguro aquí que en un decodificador del lado del servidor, porque permanece local. Aun así, rota todo lo que hayas pegado en algún lugar que no hayas verificado.
Sesión de estrategia gratuita
Vamos a construir algo que valga la pena encontrar.
Dinos dónde quieres que esté el negocio en doce meses y te regresaremos con un plan de costos, un cronograma realista y las cifras que esperamos mover —sin obligación, sin jerga.
- Llamadas de 30 minutos, sin pitch deck
- Propuesta de precio fijo en 48 horas
- Usted es el propietario de todo lo que construimos
Habla con un desarrollador
No es un equipo de ventas
- Tiempo de respuesta
- Dentro del horario laboral 1
- Dónde trabajamos
- Reino Unido, Estados Unidos y el Golfo
- Contratos
- Sin bloqueo, mensualmente continuo
- Trabajando desde
- 2023