Búsqueda
Buscar en el blog.
Depurar JWT sin filtrar secretos
Cómo inspeccionar problemas JWT de forma segura en logs, tickets, CLI, capturas y canales de incidente sin propagar bearer tokens.
Gestión de claves de firma para JWT
Guía operativa para claves de firma JWT: generación, almacenamiento, KMS, rotación, control de acceso, auditoría y respuesta.
Un flujo práctico de pentest para JWT
Una secuencia probada para evaluar JWT: captura, decodificación, claims, claves, replay y reporte.
Sesiones JWT resistentes al replay
Notas de diseño para limitar replay cuando se filtran bearer tokens: jti, estado de sesión, señales de dispositivo y rotación.
Claims JWT y límites de autorización
Cómo decidir qué claims se pueden confiar, cuáles deben revalidarse y dónde un JWT debe dejar de llevar autoridad.
La realidad del almacenamiento de tokens en el navegador
Una mirada práctica a JWT en navegador: XSS, CSRF, cookies, localStorage, service workers y decisiones de amenaza.
Expiración JWT y desfase de reloj en producción
Cómo exp, nbf, iat, ventanas de tolerancia, reintentos y relojes regionales afectan la validación real.
Fallos de caché JWKS y rotación
Los casos límite detrás de caché JWKS, rotación de claves, valores kid obsoletos y verificadores resistentes a caídas.
Ataques de confusión entre HS256 y RS256
Cómo aparece la confusión de algoritmos cuando los verificadores mezclan claves simétricas y asimétricas, con pruebas concretas.
Lecciones de alg none en producción
Por qué el viejo fallo alg none sigue importando, cómo aparece en servicios modernos y cómo probarlo con rigor.