Depurador de OAuth2

• Decodificación instantánea de tokens JWT: pega cualquier token JWT y decodifica al instante su encabezado y su carga útil. La herramienta analiza automáticamente los segmentos JSON codificados en base64, identifica el tipo de token (token de acceso, token de ID o token de actualización) y muestra todas las declaraciones en un formato claro y organizado.
• Validación de caducidad y comprobaciones de seguridad: comprueba automáticamente si un token ha caducado o sigue siendo válido, con indicadores visuales claros. Detecta problemas de seguridad como algoritmos ausentes, emisores que no son URL y declaraciones de seguridad críticas. Cada declaración incluye una insignia de importancia para que sepas en qué centrarte.
• Decodificación exhaustiva de declaraciones: decodifica y explica más de 30 declaraciones JWT estándar, incluidas iss, sub, aud, exp, scope, client_id y roles. Cada declaración tiene una descripción en lenguaje sencillo de lo que significa y por qué importa. Las declaraciones personalizadas también se muestran con sus valores sin procesar.
• Procesamiento 100% en el lado del cliente: toda la decodificación de tokens ocurre localmente en tu navegador mediante la decodificación base64 integrada. Tus tokens nunca se envían a ningún servidor, ni se almacenan, ni se registran. Sin registro, sin claves de API y ningún dato sale de tu dispositivo. Incluye tokens de ejemplo para probar.

• Depurar flujos de autenticación OAuth2: cuando falla un flujo de autenticación OAuth2 u OIDC, decodifica tus tokens para inspeccionar las declaraciones. Comprueba si el emisor coincide, si los ámbitos se conceden correctamente, si la audiencia es válida y si el token tiene la caducidad correcta. Localiza rápidamente errores de configuración.
• Análisis de tokens de seguridad: los investigadores de seguridad y los pentesters pueden decodificar tokens para analizar su contenido sin enviarlos a un servicio externo. Comprueba la exposición de datos sensibles en las declaraciones, verifica el uso de algoritmos e inspecciona la estructura del token en busca de buenas prácticas de seguridad.
• Desarrollo e integración de API: al integrarte con una API protegida por OAuth2, decodifica los tokens de acceso para verificar que contienen las declaraciones, los ámbitos y la audiencia esperados. Prueba distintos tipos de token y entiende qué información hay disponible para las decisiones de autorización.
• Aprender los estándares JWT y OAuth2: usa el depurador para aprender cómo se estructuran los JWT. Descubre cómo el encabezado define el algoritmo de firma, cómo la carga útil lleva las declaraciones y cómo la firma aporta integridad. Las descripciones detalladas de las declaraciones lo convierten en una excelente herramienta de aprendizaje.
• Verificación de tokens de varios proveedores: decodifica tokens de distintos proveedores de OAuth2 (Google, Auth0, Azure AD, Okta, Keycloak) y compara sus estructuras de declaraciones. Cada proveedor usa declaraciones y formatos ligeramente distintos: el depurador te ayuda a entender las diferencias.
• Solucionar problemas de caducidad de tokens: cuando los usuarios informan de cierres de sesión inesperados, decodifica sus tokens para comprobar la fecha de caducidad. El depurador muestra exactamente cuándo se emitió el token y cuándo caduca, ayudándote a diagnosticar si tiempos de vida cortos o desajustes de reloj están causando problemas.

Los JSON Web Tokens (JWT) son un medio compacto y seguro para URL de representar declaraciones entre dos partes. Constan de tres partes separadas por puntos: un encabezado que describe el algoritmo de firma y el tipo de token, una carga útil que contiene las declaraciones (datos) y una firma opcional que verifica que el token no ha sido manipulado. Los JWT se usan habitualmente en OAuth 2.0 y OpenID Connect (OIDC) para tokens de acceso y tokens de ID.

1. Pega tu token: pega cualquier token JWT en el área de entrada. La herramienta detecta automáticamente los tres segmentos separados por puntos (encabezado.cargaútil.firma).
2. Decodificación automática: la herramienta decodifica cada segmento codificado en base64url con la función atob() integrada de tu navegador, analiza el JSON y extrae todas las declaraciones.
3. Análisis y visualización: se identifica el tipo de token, se comprueba la caducidad con la hora actual y se muestra cada declaración con su nivel de importancia, su descripción y cualquier advertencia de seguridad.

• Tokens de acceso: se usan para acceder a recursos de API protegidos. Contienen declaraciones como scope, client_id y la parte autorizada (azp). Normalmente tienen una vida corta.
• Tokens de ID: se usan en OpenID Connect para autenticar usuarios. Contienen declaraciones de identidad como nombre, correo electrónico, foto y nonce para la protección contra repeticiones.
• Tokens de actualización: tokens de larga duración que se usan para obtener nuevos tokens de acceso sin interacción del usuario. Normalmente contienen menos declaraciones.
• Tokens opacos: tokens que no se pueden decodificar porque no contienen datos JSON analizables. Deben validarse mediante un endpoint de introspección.

Tu privacidad es nuestra prioridad. Toda la decodificación de tokens se realiza por completo en tu navegador mediante la función atob() integrada: tus tokens nunca se envían a ningún servidor y no se registra ni almacena ningún dato. El depurador de OAuth2 es completamente gratuito, sin registro, sin claves de API y sin límites de uso. Sin embargo, ten en cuenta que pegar tokens con información sensible en cualquier herramienta en línea conlleva un riesgo inherente: actúa con cautela y valora la sensibilidad de los datos de tus tokens.