Verificador de Firmas JWT

Mientras que el decodificador JWT revela qué información contiene un token, el verificador de firmas prueba que el token es legítimo. La firma de un JWT se crea aplicando una función hash al encabezado y la carga útil con una clave secreta: solo el servidor que creó el token puede producir una firma válida. Esta herramienta verifica firmas JWT basadas en HMAC (HS256, HS384, HS512), lo que la hace esencial para depurar problemas de autenticación y validar tokens localmente.

Proceso de verificación de firmas

Cuando recibes un JWT, la firma prueba dos cosas: (1) el token fue creado por alguien que tiene la clave secreta, y (2) el encabezado y la carga útil no han sido modificados desde su creación. Para verificar, tomas el encabezado y la carga útil, aplicas el mismo algoritmo HMAC con la clave secreta, y comparas el resultado con la firma. Si coinciden, el token es válido y confiable.

HMAC vs. firma asimétrica

Las firmas HMAC (HS256, HS384, HS512) utilizan una clave secreta compartida: tanto el servidor que crea el token como el cliente que lo verifica conocen la misma clave secreta. Esto funciona bien cuando ambas partes están bajo tu control (como un servicio backend y un servicio API separado). Para APIs públicas donde no puedes compartir un secreto con los usuarios, la firma asimétrica (RS256, ES256) es mejor: el servidor firma con una clave privada y el cliente verifica con una clave pública.

Depuración de autenticación fallida

Si un cliente afirma que su token es válido pero tu servidor lo rechaza, esta herramienta ayuda a diagnosticar el problema. Pega el token y el secreto que usa tu servidor, luego verifica la firma. Si falla, el token podría haber sido modificado, o el cliente está usando un secreto incorrecto. Si pasa, el problema se encuentra en otro lugar (quizás en la validación de reclamaciones o en la expiración del token).

Desarrollo y pruebas

Esta herramienta es invaluable para probar flujos de autenticación sin ejecutar tu backend completo. Genera un JWT, pégalo aquí con tu secreto para verificar que fue firmado correctamente, o modifica manualmente la carga útil y confirma que la firma falla, demostrando que tu verificación de firma realmente funciona.