Generar un JWT HS256 para Pruebas de Autenticación de API

Este ejemplo precarga el Generador JWT con una configuración HS256 y un conjunto completo de claims estándar. Obtendrá un JWT firmado que puede pegar en su cliente API, comando curl o prueba de integración.

La herramienta construye el encabezado JWT {"alg":"HS256","typ":"JWT"}, crea un payload con sus claims y firma el resultado codificado usando HMAC-SHA256 con el secreto proporcionado. La salida incluye la cadena JWT final, un desglose de las tres secciones separadas por puntos (encabezado, payload, firma) y la clave de firma utilizada.

Cuándo Usar HS256

HS256 (HMAC con SHA-256) es un algoritmo de firma simétrica. El mismo secreto firma y verifica el token. Esto lo hace rápido y simple, pero significa que cada servicio que necesita verificar un token debe conocer el secreto.

HS256 funciona bien para monolitos, aplicaciones de una sola página con backend y entornos de desarrollo/pruebas donde controla ambos extremos.

Anatomía del Token Generado

La herramienta genera tres partes separadas por puntos:

Encabezado (decodificado base64url):

{"alg":"HS256","typ":"JWT"}

Payload (decodificado base64url):

{
  "sub": "user_abc123",
  "name": "Alice Smith",
  "email": "alice@example.com",
  "iss": "https://api.dev",
  "exp": 1735689600,
  "iat": 1735686000,
  "jti": "a1b2c3d4-e5f6-7890-abcd-ef1234567890"
}

Firma: HMAC-SHA256 de base64url(header).base64url(payload) usando el secreto proporcionado.

El claim exp se establece en una hora desde la generación. Los claims iat (emitido en) y jti (ID JWT) se generan automáticamente.

Cómo Usar Este Token

1. Haga clic en Generar para crear un JWT firmado con los valores precargados.
2. Copie la cadena del token usando el botón de copia junto a la salida.
3. Agréguelo a su solicitud HTTP como encabezado Authorization:

   Authorization: Bearer <token>

4. En curl: curl -H "Authorization: Bearer <token>" https://api.example.com/endpoint
5. Pegue el token en la herramienta Decodificador JWT para inspeccionar el payload decodificado sin escribir código.

Errores Comunes

El claim sub debe ser un identificador estable para el usuario, no un correo electrónico o nombre de usuario que pueda cambiar. Use un ID de base de datos o UUID. El claim iss debe coincidir con el valor de emisor esperado que su middleware de API verifica. Muchas bibliotecas JWT rechazan tokens donde iss no coincide con el emisor esperado configurado.

Si cambia el secreto, todos los tokens emitidos anteriormente fallarán la verificación inmediatamente. Planifique la rotación de secretos admitiendo múltiples secretos válidos durante las ventanas de transición.

Herramientas Relacionadas

Use el Generador de Hash para verificar el comportamiento HMAC con diferentes entradas. El Decodificador JWT puede inspeccionar cualquier JWT que genere, incluidos tokens de proveedores de identidad de terceros.