“¿Dónde puse esa clave pública?”
Cuando se utilizan métodos de clave pública como RSA para la verificación de firmas JWT, casi siempre te chocas con el mismo muro: “¿Cómo distribuyo mi clave pública de forma segura?” y “¿Cuando actualice la clave, tendré que reescribir la configuración en cada servidor?”.
Ahí es donde entra JWKS (JSON Web Key Set) para resolver tus dolores de cabeza con estilo.
JWKS: El “escaparate” de las llaves públicas
JWKS es exactamente lo que parece: un “conjunto de llaves escritas en formato JSON”.
El servidor de autenticación (como Auth0 o Cognito) publica este JSON en una URL específica, y el servidor de la API que necesita verificar los tokens simplemente va allí para leerlo.
Piénsalo como un “escaparate público donde se muestran las claves públicas más recientes para que cualquiera pueda tomarlas y usarlas”.
Por qué te encantará JWKS
- Rotación automática: Cuando actualizas una clave, solo necesitas intercambiar el contenido en el escaparate. Tus servidores API obtendrán automáticamente la clave más reciente al consultar la URL.
- Gestiona múltiples llaves simultáneamente: Puedes mantener tanto las llaves “viejas” como las “nuevas” en el mismo conjunto, lo que hace que el periodo de transición sea fluido y sin problemas.
- Estándar mundial: Dado que es ampliamente adoptado por OAuth 2.0 y OIDC, la mayoría de las bibliotecas modernas lo admiten directamente.
Dentro de JWKS: Es solo JSON
Aunque pueda parecer complejo, la estructura es bastante simple. Básicamente, es un arreglo llamado keys que contiene la información de cada llave individual:
{
"keys": [
{
"kty": "RSA", // Tipo de llave (ej. RSA)
"use": "sig", // Uso (¡para firmas!)
"kid": "my-key-2024", // Identificador de llave (como un nombre)
"n": "...", // Datos de la llave pública parte 1
"e": "AQAB" // Datos de la llave pública parte 2
}
]
}Experimenta el lado del “Creador” de JWKS con DevToolKits
Al utilizar nuestro Generador de JWKS, puedes crear los pares de llaves necesarios para el desarrollo y las pruebas completamente dentro de tu navegador.
Puedes generar tanto “Claves públicas (formato JWKS)” como “Claves privadas (formato PEM)”, lo que lo hace perfecto para probar implementaciones de autenticación locales. Dado que todo sucede en el navegador, tus claves privadas nunca corren el riesgo de filtrarse en Internet.
Conclusión
JWKS es un invento brillante que hace que la gestión de llaves compleja sea simple, segura y eficiente desde el punto de vista computacional.
Al comprender y dominar este mecanismo, tu sistema de autenticación se volverá mucho más sofisticado. La próxima vez que no estés seguro de cómo “distribuir tus llaves”, recuerda la magia del escaparate.