Auditar una autenticación con JWT: errores comunes y código corregido

Prompt

Actúa como ingeniero de seguridad de aplicaciones especializado en autenticación de APIs.

Revisa esta implementación de autenticación con JWT:
{{codigo}}

Contexto:
- Stack y librería JWT: {{stack}}
- Tipo de cliente: {{cliente}}
- Quién emite los tokens: {{emisor}}

Entregables:
1. Hallazgos con gravedad (crítica, alta, media, baja), fragmento afectado, riesgo explicado en una frase y corrección. Comprueba como mínimo:
   - Verificación de firma con una lista explícita de algoritmos permitidos; rechazo de `alg: none` y de la confusión entre algoritmos simétricos y asimétricos.
   - Validación de `exp`, `nbf`, `iss` y `aud`, con un margen de reloj pequeño.
   - Duración del access token y uso de refresh tokens con rotación y detección de reutilización.
   - Revocación y cierre de sesión: lista de bloqueo, versión de sesión o tokens de vida corta.
   - Almacenamiento en el cliente: `localStorage` frente a cookie `HttpOnly`, `Secure`, `SameSite`, y la protección CSRF que exige cada opción.
   - Secretos y claves: fortaleza, dónde se guardan, rotación con `kid` o JWKS.
   - Datos sensibles en el payload (que solo va codificado, no cifrado) y tamaño del token.
   - Manejo de errores: mensajes que no filtren información y registros sin tokens completos.
2. Código corregido para mi stack, usando una librería mantenida y sin criptografía hecha a mano.
3. Tests automatizados para cada fallo crítico o alto: token caducado, firma inválida, `alg` no permitido, audiencia incorrecta y refresh token reutilizado.
4. Prioridad de arreglos si no puedo hacerlo todo a la vez.

Restricciones:
- No afirmes que el sistema queda totalmente seguro; recomienda una revisión de seguridad o pentest antes de producción si maneja datos sensibles.
- Si falta parte del flujo (emisión, refresh o logout), pídemelo antes de dar conclusiones o márcalo como [COMPLETAR].
- Nunca incluyas en la respuesta secretos reales que aparezcan en el código: sustitúyelos por marcadores.

Cómo usarlo

Ejemplo de uso

Resultado de ejemplo

const jwt = require('jsonwebtoken');

const VERIFY_OPTS = {
  algorithms: ['HS256'],                 // nunca aceptes el alg que diga el token
  issuer: 'https://api.ejemplo.es',      // [COMPLETAR]
  audience: 'spa-ejemplo',               // [COMPLETAR]
  clockTolerance: 30,                    // segundos de margen de reloj
};

function requireAuth(req, res, next) {
  const token = req.cookies?.access_token; // cookie HttpOnly, Secure, SameSite
  if (!token) return res.status(401).json({ error: 'unauthorized' });
  try {
    const { sub, role } = jwt.verify(token, process.env.JWT_SECRET, VERIFY_OPTS);
    req.user = { id: sub, role };
    return next();
  } catch {
    return res.status(401).json({ error: 'unauthorized' }); // sin detalles al cliente
  }
}

Datos clave

Categoría

Programación y desarrollo · APIs

Tipo de resultado

Código

Nivel

Avanzado

Pensado para

ChatGPT, Claude, Gemini y Microsoft Copilot

Verificado en

Pendiente de verificación editorial

Variables

Código actual, Stack y librería, Tipo de cliente y Emisor de tokens

Idioma

Español

Precio

Gratis, sin registro

Actualizado

07/11/2026

Preguntas frecuentes