Codificadores y Decodificadores
Herramientas para codificar y decodificar texto entre formatos. Todo el procesamiento ocurre en tu navegador, así que tus datos nunca se suben.
- Decodificador CSRPega una solicitud de firma de certificado o un certificado X.509 para leer lo que contiene: sujeto, nombres alternativos, algoritmo y tamano de clave, fechas de validez, extensiones y huellas digitales. Todo se decodifica en tu navegador y nada se sube.
- Codificador y Decodificador Base64Codifica texto a Base64 o decodifícalo de vuelta. El Unicode se maneja correctamente, así que acentos, japonés, chino, coreano y emoji vuelven intactos.
- Codificador y Decodificador de URLCodifica texto para usarlo en una URL, o decodifícalo de vuelta. Elige si estás codificando un solo valor de consulta o una URL completa, porque cada caso necesita un escapado distinto.
- Generador de Hash y HMACEscribe o pega texto para ver a la vez sus hashes MD5, SHA-1, SHA-256 y SHA-512, o cambia a HMAC para firmarlo con una clave secreta. Todo se ejecuta en tu navegador, así que ni tu texto ni tu clave salen de tu dispositivo.
- Decodificador JWTPega un JWT para leer su cabecera y su payload y ver cuándo caduca. La decodificación ocurre íntegramente en tu navegador, así que el token nunca sale de tu dispositivo.
- Generador de JWTConstruye un payload JWT, elige un algoritmo y fírmalo con tu secreto. La firma ocurre íntegramente en tu navegador, así que el secreto nunca sale de tu dispositivo.
Elige la herramienta de codificación
Usa Base64 para mover bytes por un canal de texto y la codificación de URL para meter un valor con seguridad dentro de una dirección. Usa el generador de hash para sumas de verificación y para firmas HMAC, donde un secreto compartido demuestra quién produjo el mensaje.
Usa el decodificador de JWT para leer las claims de un token y, con el secreto, comprobar su firma; el generador de JWT para emitir uno de prueba; y el decodificador de CSR para ver qué nombres y qué clave pide realmente una solicitud de certificado antes de enviarla a la autoridad.
Cuatro tareas que se parecen y no son lo mismo
Codificar reescribe los datos con un alfabeto más seguro y cualquiera puede revertirlo por completo: Base64 y la codificación porcentual están aquí. El hash es unidireccional y sin clave, así que demuestra que dos entradas coinciden sin revelar ninguna. Firmar añade un secreto, y eso es lo que convierte un mensaje en prueba de quién lo envió. Inspeccionar solo decodifica una estructura que ya es pública, que es lo que hacen los lectores de JWT y de CSR.
Confundir lo primero con lo tercero es el error caro. Un payload en Base64 parece revuelto y no protege nada; quien lo tenga lo lee en un segundo, algo fácil de demostrar pegando uno en el decodificador de aquí.
El fallo que se repite son las capas
La codificación no es idempotente. Escapa un valor dos veces y %20 se convierte en %2520, una comilla pasa a llevar doble barra invertida y un payload que debería contener un objeto contiene una cadena de JSON. Ocurre siempre que el código de la aplicación codifica algo que un framework iba a codificar de todos modos.
La solución es eliminar uno de los dos pasos, no decodificar dos veces en el extremo receptor, lo que solo cambia el error de sitio. Decodificar capa por capa en estas herramientas te dice cuántas capas había en realidad, y suele ser la vía más rápida para descubrir qué componente añadió la de más.
Piensa en lo que estás pegando
Todo lo de aquí se ejecuta en tu navegador, así que nada de lo que pegas se sube ni se registra. Conviene saberlo porque el material que llega a estas herramientas rara vez es inocuo: un CSR lleva nombres de host internos y una organización, un JWT lleva identificadores de usuario y permisos, y la entrada de un hash puede ser el propio secreto.
Aun así hay dos hábitos que conviene mantener. Verifica una firma con un secreto de prueba en lugar de uno de producción siempre que puedas, y no pegues nunca una clave privada en ninguna página web, incluida esta: un CSR se puede compartir, la clave que lo firmó no.