Firmar JWT

Edita JSON de header y payload, elige un algoritmo y el JWT se firma localmente al escribir. Usa un secreto para HS o una clave privada PEM para RS, PS y ES.

Acerca de Firmar JWT

El codificador JWT de hidevtool firma JSON Web Tokens en tu navegador: edita JSON de header y payload, elige algoritmos HS o RS/PS/ES y copia el token compacto con salida coloreada por segmentos.

Claves privadas y secretos no salen de tu dispositivo—la firma es local.

Qué puedes hacer

¿Qué hace este codificador?

Construye un JWT estándar de tres partes desde tu JSON de header y payload, calcula la firma con tu clave y actualiza el token en vivo mientras editas.

Elige un algoritmo

  1. HS256 / HS384 / HS512 — HMAC simétrico; usa un secreto compartido fuerte.
  2. RS256 / RS384 / RS512 — RSA con relleno PKCS#1 v1.5.
  3. PS256 / PS384 / PS512 — RSA-PSS (a menudo preferido en despliegues RS nuevos).
  4. ES256 / ES384 / ES512 — ECDSA con curvas P-256, P-384 o P-521.

Consejos de header y payload

  • Incluye typ: "JWT" y alg que coincida con el algoritmo seleccionado.
  • Añade exp (e iat) en segundos Unix para tokens de prueba realistas.
  • Mantén el payload pequeño—claims grandes inflan cada cabecera de petición.
  • Claims personalizados están bien; no pongas secretos en el payload.

Formatos de clave

  • HMAC — pega la cadena secreta UTF-8 que usa tu API.
  • RSA / EC — pega una clave privada PKCS#8 PEM (BEGIN PRIVATE KEY).

Consejos de seguridad

  1. 1Usa solo claves de prueba; no pegues claves privadas de producción en equipos compartidos.
  2. 2Prefiere RS/ES o secretos HS fuertes; evita contraseñas HMAC cortas o predecibles.
  3. 3Pon exp corto en tokens de acceso; usa flujos de refresh en aplicaciones reales.
  4. 4Guarda claves privadas en HSM/KMS en producción—esta herramienta es para dev/QA local.
  5. 5Verifica tokens con el depurador JWT del mismo sitio tras firmar.

Casos de uso frecuentes

Pruebas de API local

Genera tokens bearer para Postman o curl contra una API dev que espera auth JWT.

Stubs de microservicios

Genera tokens firmados con claims simulados de usuarios y roles en pruebas de integración.

Aprender JWT

Ve cómo alg y claims cambian bytes de header y firma con feedback visual inmediato.

Preguntas frecuentes

¿Qué alg se pueden usar para firmar JWT?
Esta página puede firmar en el navegador con las siguientes alg del Header (12 en total): HMAC (clave simétrica): HS256, HS384, HS512 RSA PKCS#1 (clave privada PKCS#8 PEM): RS256, RS384, RS512 RSA-PSS (clave privada PKCS#8 PEM): PS256, PS384, PS512 ECDSA (clave privada PKCS#8 PEM): ES256, ES384, ES512 No admitidas: alg none, EdDSA (Ed25519, etc.) y cualquier alg distinta de las anteriores. La clave privada debe ser PKCS#8 PEM (BEGIN PRIVATE KEY).
¿Cómo codifico un JWT en línea?
Elige un algoritmo, pega JSON de header y payload, introduce tu secreto o clave privada y copia el token generado del campo de salida.
¿Qué formato de clave privada se admite?
PKCS#8 PEM (BEGIN PRIVATE KEY) para RS, PS y ES. PEM RSA PKCS#1 legacy puede necesitar conversión.
¿Se sube mi clave de firma?
No. La codificación ocurre enteramente en tu navegador; nada se sube.
¿También puedo decodificar tokens en hidevtool?
Sí. Usa la herramienta depurador JWT del mismo sitio para decodificar y verificar.