Ejemplos
Elige un escenario para probar Cada tarjeta describe un problema JWT real, lo que aprenderas y abre un token seguro de ejemplo en el workbench sin pegar cadenas largas.
WASM en el navegador Sin subidas Local primero Empezar pruebas Expiracion · HMAC Principiante Generic API / Auth0-style
Sesion HS256 expirada Problema: El token aun se parsea, pero exp esta en el pasado, algo comun en sesiones obsoletas y fallos de refresh.
Probaras: Ver hallazgos de expiracion, extender exp, probar crack HMAC y mutaciones de privilegio.
eyJhbGciOiJI…….••••••••…adQssw5c Mostrar Copy
Analisis de riesgo Extender expiracion Promover a admin Crack de secreto HMAC
Hallazgos esperados Token expirado Claim de privilegio Falta issuer/audience Probar token de ejemplo Bypass de algoritmo Principiante Legacy APIs
Token alg:none sin firma Problema: El algoritmo none acepta firma vacia, un bypass JWT clasico cuando la verificacion es debil.
Probaras: Inspeccionar el estado sin firma, generar variantes alg:none y editar claims del payload.
eyJhbGciOiJu…….••••••••… Mostrar Copy
Firma ausente Variantes alg:none Edicion de payload
Hallazgos esperados Algoritmo sin firma Claim de rol admin Firma vacia Probar token de ejemplo Claims de privilegio Intermedio Auth0 / custom APIs
Escalada de rol estilo Auth0 Problema: La autorizacion de aplicaciones a menudo depende de claims tipo rol embebidos directamente en el token.
Probaras: Validar como JWTtool destaca claims de privilegio y genera mutaciones orientadas a admin.
eyJhbGciOiJI…….••••••••…adQssw5c Mostrar Copy
Deteccion de rol Mutacion a admin Revision de diff
Hallazgos esperados Claim de privilegio Algoritmo simetrico Falta audience Probar token de ejemplo Expiracion de sesion Principiante AWS Cognito-style
Revision de sesion obsoleta Cognito Problema: Los access tokens expirados son una fuente comun de fallos de auth confusos y manejo debil de refresh.
Probaras: Revisar riesgo de expiracion, extender exp para pruebas autorizadas y comparar el token generado.
eyJhbGciOiJI…….••••••••…adQssw5c Mostrar Copy
Revision de expiracion Extender exp Copiar token de prueba
Hallazgos esperados Token expirado Puntuacion de riesgo moderada Accion de extender expiracion Probar token de ejemplo Issuer / audience Avanzado CI/CD OIDC
Limite de confianza OIDC de GitHub Problema: Los tokens OIDC suelen llevar claims de repositorio, workflow y subject que deben validarse exactamente.
Probaras: Usar el visor y el panel de riesgo para inspeccionar claims antes de probar supuestos de politica.
eyJhbGciOiJI…….••••••••…adQssw5c Mostrar Copy
Revision issuer/audience Manipular subject Exportar variantes
Hallazgos esperados Falta issuer Falta audience Presets de manipulacion Probar token de ejemplo Claims personalizados Intermedio Firebase-style
Claim admin personalizado de Firebase Problema: Los claims personalizados pueden convertirse accidentalmente en interruptores de autorizacion cuando los checks del servidor son demasiado laxos.
Probaras: Practicar identificacion y mutacion de claims con privilegio antes de comparar la salida.
eyJhbGciOiJu…….••••••••… Mostrar Copy
Revision de claim admin Variantes alg:none Edicion de payload
Hallazgos esperados Algoritmo sin firma Rol admin Payload editable Probar token de ejemplo