Token web JSON (JWT)

Un JSON Web Token (JWT) es un método compacto e independiente para intercambiar información de forma segura entre dos partes en formato JSON. El token contiene afirmaciones sobre un usuario o un sistema, firmadas con una clave secreta o un certificado. Esto permite a la parte receptora verificar que los datos son auténticos y no han sido modificados. Para las pymes con aplicaciones web, integraciones o API, el JWT es una forma práctica de gestionar el estado de inicio de sesión y los derechos de acceso sin tener que intercambiar contraseñas constantemente.

Cómo funciona un JSON Web Token

Un JWT consta de tres partes, separadas por puntos: encabezado, carga útil y firma. El encabezado describe el tipo de token y el algoritmo utilizado. La carga útil contiene los datos reales, como el ID de usuario, el rol y la fecha de caducidad. La firma se genera combinando el encabezado y la carga útil con una clave secreta y cifrándolos. Cuando un servidor recibe el token, comprueba la firma. Si es correcta, el servidor sabe que los datos no han sido modificados. Este proceso es rápido y se adapta bien a grandes volúmenes, ya que el servidor no tiene que almacenar datos de sesión. El token se transmite en cada solicitud HTTP, a menudo en el encabezado «Authorization».

Por qué JWT se hizo popular en las arquitecturas basadas en API

Antes de 2010, la mayoría de los sitios web funcionaban con sesiones del lado del servidor: al iniciar sesión, se obtenía un ID de sesión que el servidor almacenaba en una base de datos. Esto funcionaba muy bien para aplicaciones monolíticas, pero resultaba poco práctico con la llegada de las API y las aplicaciones móviles. Cada llamada a la API tenía que consultar la base de datos de sesiones, lo cual resultaba lento y difícil de escalar. JWT resuelve este problema, ya que toda la información necesaria se encuentra en el propio token. El servidor no tiene que mantener el estado de la sesión, lo que mejora el rendimiento y la escalabilidad. Por eso, hoy en día es habitual encontrar JWT en aplicaciones de página única, aplicaciones móviles y arquitecturas de microservicios.

Lo que ofrece JWT en materia de integraciones de API y automatización

Para las pymes que trabajan con sistemas externos o automatización, JWT es una forma fiable de gestionar el acceso. Piensa, por ejemplo, en una tienda online que obtiene datos de stock de un sistema ERP a través de una conexión API, o en un portal de clientes que consulta datos de un CRM. Con JWT, el usuario puede iniciar sesión una sola vez, tras lo cual la aplicación envía el token con cada solicitud. Esto reduce el número de intercambios de contraseñas y permite asignar derechos muy específicos: qué datos puede ver este usuario y cuánto tiempo es válido el acceso. También en la automatización mediante IA y en los flujos de trabajo a través de herramientas como n8n, es frecuente encontrar JWT como método de autenticación. Para los desarrolladores, ofrece un formato estandarizado compatible con prácticamente todos los marcos de trabajo, lo que agiliza la integración.

En la práctica, el JWT se utiliza sobre todo en aplicaciones que deben reconocer a los usuarios sin que estos tengan que iniciar sesión una y otra vez. A continuación describimos cuatro situaciones concretas en las que las pymes se enfrentan al JWT, y cuándo es la opción adecuada.

Inicio de sesión y gestión de sesiones en aplicaciones web

Cuando un visitante inicia sesión en una aplicación web, el servidor devuelve un JWT tras una verificación satisfactoria. El navegador almacena este token, por ejemplo, en localStorage o en una cookie, y lo envía junto con cada solicitud posterior. De este modo, el servidor sabe quién es el usuario sin tener que pedirle la contraseña cada vez. Esto funciona bien para portales de clientes, paneles de control y entornos de intranet. Una tienda online con 500 productos y una página de cuenta a la que se puede acceder con nombre de usuario puede utilizar JWT para mostrar el historial de pedidos y las listas de deseos de cada usuario. Atención: nunca guardes un JWT en localStorage si el token contiene derechos confidenciales y existe riesgo de XSS. En ese caso, una cookie httpOnly es más segura.

Autenticación mediante API entre sistemas

Muchas pymes vinculan su sitio web a servicios externos: un sistema de reservas, un CRM o una herramienta de gestión de existencias. Estos sistemas se comunican a través de una API, y el JWT es una forma habitual de demostrar que la solicitud procede de una fuente autorizada. El proveedor de la API emite un JWT tras la verificación, y el sistema receptor comprueba la firma en cada solicitud. Esto permite ejecutar procesos automatizados sin tener que introducir el nombre de usuario y la contraseña cada vez. Un ejemplo: un mayorista B2B que envía precios en tiempo real a los distribuidores a través de una API puede asignar a cada distribuidor un JWT con derechos de acceso específicos.

Inicio de sesión único (Single Sign-On) entre varias aplicaciones

Cuando una organización utiliza varias aplicaciones web, por ejemplo, un portal de RR. HH., una herramienta de gestión de proyectos y una base de conocimientos, lo ideal es que los empleados solo tengan que iniciar sesión una vez. A esto se le denomina «inicio de sesión único» (SSO). JWT lo hace posible: tras iniciar sesión en el proveedor de identidad central, el usuario recibe un token válido para todas las aplicaciones vinculadas. Cada aplicación comprueba la firma y confía en las afirmaciones contenidas en el token. Esto ahorra tiempo y reduce la fatiga de las contraseñas. Para las pymes de entre 12 y 50 empleados que trabajan con varias herramientas en la nube, el SSO a través de JWT puede acelerar la incorporación de nuevos usuarios y el flujo de trabajo diario.

Cuándo JWT es la elección adecuada y cuándo no lo es

JWT funciona bien cuando se busca una autenticación sin estado, la escalabilidad es importante y se pueden almacenar los datos en el propio token sin riesgo para la privacidad. Resulta menos adecuado cuando necesitas revocar tokens rápidamente: una vez emitido, un JWT sigue siendo válido hasta su fecha de caducidad, a menos que mantengas una lista negra. En ese caso, se pierde la ventaja de la autenticación sin estado. Asimismo, en el caso de datos muy sensibles, como información médica o transacciones financieras, el JWT requiere una precaución adicional: en esos casos, es imprescindible cifrar la carga útil y establecer plazos de caducidad estrictos. Para sitios web sencillos sin conexiones a API ni integraciones externas, una cookie de sesión clásica puede resultar más sencilla y segura. Considera el uso de JWT sobre todo cuando trabajes con una arquitectura de aplicaciones web moderna o tengas que conectar sistemas externos.