Generador de JWT
Construye y firma un JSON Web Token en tu navegador: cabecera y claims editables, generador de secretos fuertes en un clic y firma HS256/384/512 con la Web Crypto API.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Crea y codifica un JSON Web Token en tu navegador. Fijas la cabecera (alg: HS256, HS384 o HS512, y typ), escribes los claims del payload como JSON (sub, iss, aud, exp, iat, nbf), aportas un secreto de firma y obtienes un token completo firmado con HMAC y listo para usar. La firma usa la Web Crypto API del navegador (HMAC) y se calcula sobre base64url(header).base64url(payload), exactamente según el RFC 7515 y el RFC 7519. Los botones de inserción rápida añaden los claims registrados estándar (sub, iss, aud, iat, nbf y un exp relativo como «+1h» o «7d») para que no tengas que calcular a mano las marcas de tiempo NumericDate. Un botón «Generate» crea en un clic un secreto de firma aleatorio y fuerte de 256 bits a partir de crypto.getRandomValues, un CSPRNG de verdad, no Math.random. Todo ocurre en el cliente: la cabecera, el payload y el secreto nunca salen de tu navegador y no se hace ninguna petición de red. Sirve para crear tokens de PRUEBA: guarda las claves de firma de producción en tu servidor. Es una herramienta Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Elige el algoritmo (HS256, HS384 o HS512) y el typ en la cabecera.
- Escribe los claims del payload como JSON o añádelos con los botones rápidos (sub, iss, aud, iat, nbf y un exp relativo como «+1h»).
- Pulsa «Generate» para crear un secreto aleatorio de 256 bits o pega tu propio secreto de alta entropía.
- Copia el token firmado para tus pruebas; no pongas datos sensibles en el payload ni pegues claves de producción.
Preguntas frecuentes
¿Qué hace este generador de JWT?
Construye en tu navegador un JSON Web Token completo y firmado (un JWS). Eliges el algoritmo y el tipo en la cabecera, escribes en el payload los claims que quieras como JSON y aportas un secreto de firma; la herramienta codifica en base64url la cabecera y el payload, calcula sobre ellos la firma HMAC y une las tres partes con puntos en un token terminado. Es útil para probar una API que espera un JWT, reproducir un token para depurar un verificador o aprender cómo encajan las piezas de un JWT, todo sin instalar una biblioteca ni enviar nada a un servidor.
¿Qué algoritmos de firma admite?
La familia simétrica HMAC: HS256, HS384 y HS512, que firman y verifican con un único secreto compartido usando SHA-256, SHA-384 o SHA-512 respectivamente. Están implementados con la Web Crypto API (crypto.subtle), así que la firma es HMAC real y conforme a los estándares: un token producido aquí se verifica en cualquier biblioteca JWT conforme con el mismo secreto. Los algoritmos asimétricos (RS256, ES256, etc.) necesitan una clave privada y no se ofrecen aquí a propósito, porque pegar una clave privada de producción en una página web es un mal hábito; usa esta herramienta para tokens de prueba HMAC y firma los tokens asimétricos en tu servidor.
¿Es seguro crear un JWT aquí?
La generación en sí es completamente segura en el sentido de que no se transmite nada de lo que escribes: la cabecera, el payload y el secreto se procesan por completo en tu navegador sin ninguna petición de red, así que no se registran ni se guardan en ningún sitio fuera de tu equipo. La verdadera precaución tiene que ver con lo que construyes: un JWT está firmado, no cifrado, así que cualquiera que obtenga el token terminado puede leer todos los claims del payload. Trata los tokens que generes como legibles, no pongas nunca secretos en el payload y no pegues una clave de firma real de producción en ningún sitio web: crea aquí tokens de prueba y guarda las claves reales en el servidor.
¿Cómo elijo un buen secreto de firma?
Para HS256, el secreto debe tener al menos tanta entropía como la salida del hash: 256 bits (32 bytes) de aleatoriedad. Una frase corta o una palabra de diccionario es débil: un atacante que capture un solo token puede forzar sin conexión un secreto HS256 débil y después falsificar tokens válidos a voluntad. Usa el botón «Generate», que extrae 32 bytes aleatorios de crypto.getRandomValues (un RNG criptográficamente seguro) y los codifica en base64url, o pega tu propio secreto de alta entropía. El mismo secreto se usa después para verificar el token, así que guárdalo en un lugar seguro.
¿Qué son los claims registrados como exp, iat y sub?
El RFC 7519 define un conjunto de nombres de claims estándar («registrados») para que los verificadores los interpreten de forma coherente: iss (emisor), sub (sujeto: de quién trata el token), aud (audiencia: para quién es), exp (hora de expiración), nbf (hora a partir de la cual es válido), iat (hora de emisión) y jti (un ID único del token). Los tres claims de tiempo son valores NumericDate (segundos desde el 1970-01-01 UTC), por eso los botones rápidos los calculan a partir de tu reloj y existe el asistente de «exp +1h» relativo. Una comprobación completa en el servidor verifica la firma y después valida exp, nbf, aud e iss; una firma válida por sí sola no hace que un token esté vigente ni que esté destinado a ti.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.