Resolución de problemas de autenticación

Depurador JWT

Investiga por qué un JWT legible todavía provoca 401. Compara issuer/audience esperados y revisa claims de tiempo, scopes y roles.

Token JWT

Emisor esperado (opcional)

Audience esperada (opcional)

Clock skew permitido (segundos)

El token y los valores esperados se evalúan localmente en el navegador.

Por qué un JWT legible puede fallar

Decodificar solo muestra los datos. La API puede rechazar expiración, nbf, issuer o audience.

La autorización añade otra capa: puede autenticarse y aun así carecer de scope, role o permiso, produciendo 403.

Esta página no verifica la firma. Si claims y configuración parecen correctos, usa la clave que realmente confía tu aplicación.

Token expirado, issuer/audience incorrectos, firma inválida, nbf futuro o header Authorization mal formado.

Autenticación correcta pero faltan scopes, roles o permisos del recurso.

Revisa alg=none, algoritmos inesperados, URLs de claves controladas por el token, kid sospechoso, tiempo, issuer y audience.

Compara dos JWT campo por campo para ver cambios tras refresh, login, cambio de entorno o rotación de claves.

Las uso cuando un JWT decodificado sigue fallando en ejecución.