¿Un JWT está cifrado?

No, por defecto. El payload solo está en Base64url y cualquiera puede leerlo. La firma protege la integridad, no la privacidad.

¿Puedo poner una contraseña en un JWT?

No. Cualquiera puede decodificar el payload, así que incluye solo claims no sensibles como un ID y una expiración.

¿Cuáles son las tres partes de un JWT?

Header, payload y firma — cada uno en Base64url y unidos por puntos.

¿Qué es un JWT (JSON Web Token)?

Publicado el 5/9/2025 · 2 min de lectura · Herramientas para desarrolladores

Daniel Okonkwo — Desarrollador front-end y redactor de Tecnología en OneKitly

Rendimiento web · Formatos de archivo

Verificado con 2 fuentes

Ver perfil →

En resumen

Un JSON Web Token (JWT) es un token compacto y firmado que lleva información entre partes en tres partes Base64url separadas por puntos: header.payload.signature. El payload contiene «claims» como un ID de usuario y una expiración; la firma prueba que el token no se manipuló. Es legible por cualquiera, así que nunca pongas secretos — la firma protege la integridad, no la confidencialidad.

Un JWT es un token compacto y firmado que lleva identidad entre servicios. Aquí tienes sus tres partes, su uso para autenticación y sus límites de seguridad.

Qué es un JWT

Un JWT es un token autónomo que un servidor puede entregar a un cliente para probar quién es, sin guardar una sesión en el servidor. Parece una larga cadena de tres bloques separados por puntos. Como lleva sus propios claims firmados, cualquier servicio que confíe en la clave de firma puede verificarlo por sí mismo — por eso es popular para autenticación sin estado entre APIs.

Las tres partes

Dividido por los puntos, un JWT tiene un header, un payload y una firma, cada uno en Base64url. El header nombra el algoritmo de firma y el tipo de token. El payload contiene los claims — estándar como sub (sujeto), exp (expiración) e iat (emitido en), más campos personalizados. La firma se calcula sobre el header y el payload con una clave secreta o privada, así que manipular cualquiera de los dos la rompe.

Cómo se usa

En un flujo típico, inicias sesión, el servidor firma un JWT con tu identidad y una expiración, y lo devuelve. Tu app lo adjunta a cada petición, normalmente en la cabecera Authorization como token «Bearer». El servidor revisa la firma y la expiración en cada petición en lugar de buscar una sesión, lo que escala bien entre varios servicios que comparten la clave.

Notas de seguridad

Un JWT está firmado, no cifrado, así que cualquiera que lo tenga puede decodificar y leer el payload — nunca guardes contraseñas ni datos sensibles ahí. Verifica siempre la firma en el servidor y rechaza tokens expirados; un token que no verificas no prueba nada. Mantén expiraciones cortas y, como un token válido da acceso hasta que expira, guárdalo con cuidado y ten forma de revocar o rotar claves.

Decodificador JWTDescodifica un JWT, lee sus campos y fechas, y verifica su firma HMAC.Probar la herramienta →

Preguntas frecuentes

¿Un JWT está cifrado?: No, por defecto. El payload solo está en Base64url y cualquiera puede leerlo. La firma protege la integridad, no la privacidad.
¿Puedo poner una contraseña en un JWT?: No. Cualquiera puede decodificar el payload, así que incluye solo claims no sensibles como un ID y una expiración.
¿Cuáles son las tres partes de un JWT?: Header, payload y firma — cada uno en Base64url y unidos por puntos.

Artículos que podrían interesarte

Todas las guías →

Explicación¿Qué es una función hash? (MD5, SHA-256)Una función hash convierte cualquier entrada en una huella de tamaño fijo. Aquí tienes qué hace, sus propiedades clave, usos comunes y qué algoritmos son seguros.Explicación¿Qué es un UUID (y cuándo usarlo)?Un UUID es un identificador de 128 bits único sin autoridad central. Aquí tienes cómo se ve, por qué es útil, las versiones y cuándo usar uno.Explicación¿Qué es una expresión cron?Una expresión cron programa una tarea para ejecutarse automáticamente a horas fijadas. Aquí tienes para qué sirve, sus cinco campos, cómo leerla y los fallos comunes.Explicación¿Qué es la codificación Base64?Base64 convierte datos binarios en texto seguro. Aquí tienes qué hace, por qué existe, por qué no es cifrado y el coste de tamaño que añade.ExplicaciónQué hay dentro de un JWT y qué no protegeUn JWT está firmado, no cifrado. Cualquiera que tenga el token puede decodificar la carga y leer todas sus reclamaciones. Aquí tienes un token real, decodificado sin ninguna clave, más los tres ataques que la firma debe frenar y el único problema que no puede resolver.TutorialCómo crear una contraseña seguraLa longitud gana a la complejidad. Aquí tienes por qué una frase de cuatro palabras es fuerte, por qué nunca reutilizar una contraseña, y cómo un gestor lo hace fácil.

Herramientas relacionadas

Decodificador JWTDescodifica un JWT, lee sus campos y fechas, y verifica su firma HMAC.Codificador / decodificador Base64Codifica y decodifica Base64 en línea — gratis.Generador de hashCalcula 15 huellas (MD5, SHA-256, SHA-3, CRC-32…) de un texto o un archivo.Generador de UUIDGenera UUID v7, v4, v5, v3, v1 o v6 en lote, en varios formatos de salida.

Fuentes

¿Has detectado un error en este artículo?