Un JSON Web Token (JWT) es un token compacto, seguro para URL y autocontenido que lleva claims sobre un usuario. El servidor lo firma una vez; después puede verificar el token en cada request sin consultar la base de datos — eso es lo que hace que la auth basada en JWT sea stateless.
Un JWT es , tres segmentos codificados en base64url unidos por puntos:
header.payload.signatureeyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 ← header
.eyJzdWIiOiIxMjMiLCJleHAiOjE3MDB9 ← payload (claims)
.dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1 ← signature
{ "alg": "HS256", "typ": "JWT" }.sub (subject/user id), exp (expiración), iat (issued-at), iss (issuer), más cualquier campo personalizado (role, email).El payload está codificado, no cifrado. Cualquiera puede hacer base64-decode y leerlo, así que nunca pongas contraseñas ni secretos en un JWT.
signature = HMAC-SHA256(
base64url(header) + "." + base64url(payload),
secret
)
En cada request el servidor recalcula la firma sobre el header+payload recibido y la compara. Si coinciden y exp está en el futuro, se confía en el token — sin necesidad de un session store.
const jwt = require("jsonwebtoken");
const token = jwt.sign({ sub: "123", role: "admin" }, SECRET, {
expiresIn: "15m",
});
try {
const claims = jwt.verify(token, SECRET); // lanza si fue manipulado o expiró
// claims.sub === "123"
} catch (e) {
// rechazar: inválido o expirado
}
Como la verificación es stateless, no puedes invalidar un token antes de que expire con solo "borrarlo" del lado del servidor. Mitigaciones comunes:
jti) para logout/compromiso — esto reintroduce un poco de estado.| Almacenamiento | Ventaja | Desventaja |
|---|---|---|
Cookie httpOnly | No legible por JS (más segura ante XSS) | Necesita protección CSRF |
localStorage | Simple, sin CSRF | Expuesto a XSS |
Los JWT impulsan la autenticación stateless a través de APIs, microservicios y SPAs — un servicio puede confiar en una request verificando solo una firma, sin un session store compartido. Pero esa misma ausencia de estado es la clásica trampa de entrevista: los tokens no se pueden revocar con facilidad, el payload es legible, y la confusión de alg o la falta de una comprobación de expiración son vulnerabilidades reales. Saber exactamente qué protege la firma, y qué no, es esencial para usar JWT de forma segura.
Una biblioteca de preguntas de entrevista de IT con respuestas detalladas — de Junior a Senior.
Donar