Decodificador JWT
Pegue un JSON Web Token para leer su cabecera y sus claims y comprobar si tiene ajustes de riesgo. El token no sale de su navegador.
Nada sale de su navegador: el token y el secreto que introduzca se procesan solo en esta página.
Cómo funciona
Un JSON Web Token firmado tiene tres partes separadas por puntos: una cabecera, un payload con los claims y una firma. Las dos primeras solo están codificadas en Base64url, así que cualquiera que tenga el token puede leerlas. Esta herramienta las decodifica en su dispositivo, muestra los claims de tiempo como fechas y revisa los ajustes que más a menudo causan problemas de seguridad. También prueba una lista corta de secretos sacados de tutoriales y configuraciones por defecto, porque cualquiera puede falsificar tokens firmados con ellos.
Cómo interpretar el resultado
Los problemas hay que corregirlos: un token sin firmar, sin caducidad o con un secreto muy conocido. Los avisos dependen del contexto; la falta de destinatario no es un problema si solo un servicio acepta el token. Decodificar no es verificar. Solo una comprobación de la firma con la clave correcta demuestra que un token es auténtico y no se ha modificado, y además el servidor debe fijar el algoritmo que acepta en lugar de fiarse de la cabecera.
Limitaciones
La herramienta verifica firmas HS256, HS384 y HS512 con un secreto que usted introduce. No puede verificar firmas RS, PS, ES ni EdDSA, ni leer tokens cifrados (JWE), que tienen cinco partes.
Preguntas
¿Se envía mi token a algún sitio?
No. La decodificación, las comprobaciones y la verificación de la firma se hacen en su navegador. Aun así, trate los tokens en uso como contraseñas y péguelos solo en herramientas de confianza.
¿Por qué es peligroso alg none?
El token no tiene firma, así que cualquiera puede modificar sus claims. Algunas bibliotecas lo aceptaban cuando el servidor no exigía un algoritmo concreto.
¿Cuánto tiempo debe ser válido un JWT?
Lo menos posible. Los tokens de acceso suelen caducar en un plazo de 5 a 60 minutos; las sesiones más largas usan tokens de actualización que el servidor puede revocar.
¿Puedo verificar aquí tokens RS256?
No. Para eso hace falta la clave pública del emisor, que suele publicarse en su endpoint JWKS. Verifique esos tokens en su biblioteca JWT con una clave y un algoritmo fijos.
¿Necesita más de lo que puede mostrar una herramienta?
Una herramienta comprueba una sola cosa. Nuestros consultores ven el conjunto.
Pruebas de penetraciónArtículos relacionados
-
Lista práctica de comprobación de seguridad para WordPress
Doce pasos de bastionado de WordPress en un orden lógico: desde actualizaciones y plugins abandonados hasta 2FA, XML-RPC, copias, integridad y WAF.
-
Las cabeceras de seguridad que importan y las que conviene retirar
Guía práctica de CSP con nonces, HSTS y preload, frame-ancestors, Referrer-Policy, Permissions-Policy y COOP, con ejemplos y qué cabeceras eliminar.
-
Cómo diseñar y probar cargas de archivos seguras
Lista de controles para funciones de carga de archivos, basada en la hoja de referencia de OWASP, con una tabla de pruebas para cada endpoint de carga.