Como usar JWTtool con seguridad

Inicio rapido

Abre el workbench, pega un JWT (o usa Ejemplos) y espera la decodificacion local de WASM. Sin cuenta y sin subida por red.

Flujo recomendado

1. Decodifica — pega un JWT, header Bearer o valor token=.
2. Revisa riesgo — los hallazgos se ordenan por severidad con acciones sugeridas.
3. Ataca — empieza por Recomendado y luego Mutaciones para cambios rapidos.
4. Exporta — copia, compara o envia variantes generadas desde Resultados.

Tipos de ataque

Recomendado muestra presets contextuales (expiracion, alg:none, kid, claims de privilegio). Mutaciones cubre ediciones rapidas de payload/header. Tecnicas avanzadas (jku, x5u, confusion) permanecen plegadas hasta que se necesiten.

Atajos de teclado

Ctrl+K

Borrar entrada del token

Ctrl+R

Ejecutar todos los presets de ataque

Ctrl+C

Copiar token generado seleccionado

Ctrl+1

Probar token de ejemplo incluido

Modelo de privacidad

El parseo, analisis, mutacion, ayudantes de firma y utilidades Base64url se ejecutan en el navegador. Evita usar secretos de produccion salvo que entiendas el modelo de amenaza local de tu equipo y sesion del navegador.

Solucion de problemas

• WASM no termina de cargar — usa Reintentar en el cargador o refresca la pagina.
• Error de parseo — verifica que el token tenga tres segmentos Base64url (header.payload.signature).
• Enlaces compartidos — los tokens completos usan el hash de URL; los escenarios de ejemplo usan ?demo= para enlaces cortos.

Uso responsable

Prueba solo sistemas que posees o que tienes autorizacion explicita para evaluar. Los tokens generados y ayudantes de peticion son utilidades ofensivas de prueba, no permiso para eludir autorizacion.