Un JSON Web Token suele contener tres partes codificadas en Base64URL: cabecera, payload y firma. El payload es legible; un JWT firmado normalmente no está cifrado.
GuíaBuenas prácticasPrincipiante
JWT: comprender estructura, firma, expiración y errores frecuentes
Aprende qué contiene un JWT, por qué decodificar no equivale a verificar y cómo funcionan exp, nbf, iss y aud.
Mostrar el índice
Decodificar no equivale a verificar
Cualquiera que tenga un JWT puede decodificar su cabecera y payload. Eso no demuestra que la firma sea válida ni que el emisor sea de confianza. El decodificador JWT ayuda a inspeccionar la estructura y el inspector JWT permite verificar firma y claims.
Para una validación similar a producción, la aplicación debe fijar por sí misma los algoritmos aceptados. No conviene dejar que el valor alg no confiable del propio token determine la política de verificación.
Selecciona correctamente kid y JWKS
La cabecera puede incluir un kid. En un JWKS, ese identificador debería seleccionar de forma inequívoca la clave esperada. Si no existe una coincidencia o la selección es ambigua, es más seguro fallar que usar una clave cualquiera.
El inspector JWK/JWKS ayuda a revisar tipos de clave e identificadores.
Comprueba algo más que la firma
Valida exp y, cuando exista, nbf; también el emisor iss y la audiencia aud esperados. Una firma válida no implica por sí sola que el token sea válido para tu aplicación o para la acción solicitada.
No guardes secretos en el payload
El payload de un JWT normal se puede leer, por lo que no debe tratarse como almacén confidencial. Reduce los claims a lo necesario y evita datos personales o sensibles que no aporten valor.
Sesiones y almacenamiento siguen importando
Un token válido puede ser robado. Los atributos de cookies, la protección frente a XSS, la duración, el refresh y la revocación siguen afectando al riesgo. JWT es un formato de token, no una arquitectura completa de sesión.
Para ver cómo encajan OAuth, PKCE, JWT y las claves públicas, consulta OAuth 2.0, PKCE, JWT, JWK y JWKS. El codificador JWT es útil para aprender y crear datos de prueba; la emisión y verificación de producción deberían estar gobernadas por una política explícita.