JWT no está cifrado, es solo Base64

Este es el token que se envía en cada solicitud de tu app. ¿Quién crees que puede leer lo que hay escrito dentro? La respuesta es sencilla: cualquiera.

Tres partes

Todo JWT se divide en tres partes separadas por puntos: header.payload.signature. Las dos primeras no están cifradas, solo codificadas en Base64. Base64 no es cifrado, es solo un formato de codificación: se puede decodificar en cualquier momento.

const [header, payload] = token.split(".");
console.log(JSON.parse(atob(payload)));
// { sub: "user_123", email: "...", role: "admin", exp: 1735689600 }

Si pegas esto en la consola de tu navegador, tu correo electrónico, tu ID de usuario, tu rol y la fecha de expiración aparecen justo delante de ti. Por eso nunca debes poner contraseñas, números de documento de identidad ni datos de tarjetas en el payload de un JWT.

¿Puedo editarlo y convertirme en admin?

Podrías editar el payload y escribir role: "admin", al fin y al cabo Base64 es una codificación bidireccional. Pero el servidor recalcula la firma con una clave secreta que solo él conoce. La firma no coincidirá con tu payload falsificado y el servidor rechazará el token: 401. Puedes leer el payload, pero no puedes manipularlo sin que se note.

Cuatro reglas

Para terminar

El trabajo de JWT no es la confidencialidad, sino la integridad: garantiza que el contenido no ha sido alterado, no que esté oculto. Si tienes datos que realmente deben permanecer secretos, usa JWE (JWT cifrado) o las sesiones tradicionales del lado del servidor.