Firmador de JSON Web Token (JWT)

Firma tokens JWT localmente con secretos HMAC o claves privadas PEM/JWK para pruebas de API y depuración de autenticación.

Payload y encabezado
Edita las claims en JSON y los campos opcionales del encabezado protegido que se firmarán en el token.
Ayudas para claims registradas

Usa estos controles para actualizar claims NumericDate comunes en el payload JSON.

Muestra un valor de firma en tiempo real y lo escribe en payload.iat solo al firmar.

Valor del payload: 1713139200Valor de firma: 1713139200

La entrada manual establece un exp fijo. Los desplazamientos rápidos siguen el iat usado para firmar y se finalizan al firmar.

Valor del payload: No establecidoValor de firma: No establecido

El algoritmo seleccionado siempre se escribe en el encabezado. Usa este campo para valores como kid o sobrescrituras de typ.

Clave de firma
Elige un algoritmo, proporciona el secreto o la clave privada correspondiente y luego genera un JWT compacto.

Los algoritmos HMAC usan un secreto compartido.

Se usa para HS256, HS384 y HS512. El secreto no se guarda en el almacenamiento local.

Token firmado
Copia el JWT compacto o inspecciona los segmentos exactos de encabezado, payload y firma.
Aún no hay ningún token firmado
Agrega un payload JSON válido y una clave de firma; luego firma para crear un JWT compacto.
Descargar

¿Qué es un firmador de JWT?

Un firmador de JWT crea un JSON Web Token compacto al serializar un encabezado y un payload, y luego firmarlos con un secreto o una clave privada. El resultado es el token de tres partes header.payload.signature que utilizan muchos sistemas de API, OAuth y sesiones.

Cuándo usar esta herramienta

  • Crea tokens de prueba locales para desarrollo de API, entornos de staging y demos.
  • Compara cómo distintos algoritmos cambian el encabezado y la firma del token.
  • Agrega claims como sub, iss, aud, exp, iat, scope o campos personalizados de la aplicación sin escribir un script temporal.
  • Genera tokens con secretos compartidos HMAC o con claves privadas RSA/ECDSA en formato PKCS#8 PEM o JWK.

Qué comprobar antes de usar un token firmado

  • Haz coincidir el algoritmo con el tipo de clave: HS* usa un secreto compartido, RS* y PS* usan claves privadas RSA, y ES* usa claves privadas EC.
  • Agrega claims de expiración y audiencia cuando el servicio receptor las espere.
  • Mantén las claves privadas de producción fuera de navegadores y máquinas compartidas. Esta herramienta se ejecuta localmente, pero no puede proteger las claves de un dispositivo que ya está comprometido.
  • Recuerda que firmar no es cifrar. Cualquier persona que reciba el token puede decodificar el encabezado y el payload.