¿Cómo se construye un JWT?
Un JSON Web Token tiene tres partes separadas por puntos: una cabecera, un payload y una firma. La cabecera y el payload son objetos JSON codificados en base64url, y la firma demuestra que no se modificaron. En HS256, HS384 y HS512 la firma es un HMAC de las dos primeras partes calculado con un secreto compartido y el hash SHA-256, SHA-384 o SHA-512.
El payload contiene claims como sub (sujeto), iat (emitido en) y exp (expiración), ambos en segundos desde 1970. Cualquiera puede leer un JWT, porque codificar no es cifrar, así que nunca pongas secretos en el payload. La firma solo garantiza la integridad: un servidor que conoce el secreto puede comprobar que el token es genuino y no ha cambiado. Esta herramienta firma en tu navegador con la API WebCrypto.
Cómo crear un token
- Elige el algoritmo y edita los claims del payload.
- Introduce el secreto que usa tu servidor.
- Copia el token y pruébalo contra tu API o pégalo en el decodificador JWT.
Casos de uso comunes
- Pruebas de API - crea un token para llamar a un endpoint protegido en desarrollo.
- Aprendizaje - mira cómo se relacionan cabecera, payload y firma.
- Depuración - reproduce la firma de un token para encontrar una discrepancia.