HS256 frente a RS256: JWT simétricos y asimétricos

La firma de JWT utiliza algoritmos simétricos (HMAC) o asimétricos (RSA, ECDSA). HS256 = HMAC-SHA256. RS256 = RSA-PKCS1v1.5-SHA256. ES256 = ECDSA-P256-SHA256. La elección afecta a la distribución de claves y al modelo de confianza.

HS256 utiliza una única clave secreta compartida tanto para firmar como para verificar. Tanto el emisor como cada verificador deben poseer el mismo secreto. Es sencillo de implementar, pero requiere distribuir la clave de forma segura a todos los verificadores.

HS256 es adecuado cuando el emisor y el verificador son el mismo servicio (por ejemplo, una API monolítica que firma y verifica sus propios tokens). Nunca use HS256 si varios servicios independientes necesitan verificar tokens, ya que todos necesitarían el secreto.

RS256 utiliza una clave privada para firmar y una clave pública para verificar. Solo el servidor de autenticación conserva la clave privada. Todos los servidores de recursos obtienen la clave pública del endpoint de JWKS y verifican localmente, sin necesidad de compartir secretos.

RS256 es ideal para arquitecturas de microservicios: el proveedor de identidad firma los tokens y cada servicio posterior los verifica con la clave pública sin ponerse en contacto con el IDP en cada solicitud. Permite escalar horizontalmente sin el riesgo de distribuir claves.

ES256 utiliza ECDSA sobre P-256. El tamaño de la firma es de 64 bytes frente a los 256 bytes de RS256 para una clave de 2048 bits. La verificación es aproximadamente 10 veces más rápida que con RS256. Se prefiere cuando el ancho de banda o la velocidad de verificación son críticos, como en API móviles o IoT.

Para RS256/ES256: rote las claves publicando la nueva clave (nuevo kid) en JWKS, firmando los tokens nuevos con la nueva clave, permitiendo un periodo de gracia para que caduquen los tokens antiguos y, después, eliminando la clave antigua. La rotación de HMAC requiere redistribuir el nuevo secreto.

Verificación HS256: ~1 µs. Verificación RS256: ~100 µs (2048 bits). Verificación ES256: ~50 µs (P-256). HS256 es el más rápido, pero requiere compartir el secreto. ES256 ofrece el mejor equilibrio entre seguridad y rendimiento para sistemas distribuidos.

Una vulnerabilidad crítica: si el verificador confía ciegamente en el encabezado alg, un atacante puede cambiar alg de RS256 a HS256 y firmar el token con la clave pública del servidor (que es pública) como secreto HMAC. Solución: nunca confíe en el encabezado alg.

Decisión: servicio único → HS256. Varios servicios/microservicios → RS256 o ES256. Aplicaciones móviles de gran volumen → ES256. En caso de duda, use ES256 (P-256) o RS256 con claves de al menos 2048 bits. No use RS512 en rutas sensibles al rendimiento.

Use PyJWT (Python), jose (Node.js) o auth0/java-jwt. Fije siempre el algoritmo esperado en la llamada de verificación: jwt.decode(token, secret, algorithms=["HS256"]). Nunca pase algorithms=None ni omita el parámetro.

¿Por qué se prefiere RS256 a HS256 en arquitecturas de microservicios?

HS256 es simétrico (secreto compartido); RS256/ES256 son asimétricos (firma privada, verificación pública). Use algoritmos asimétricos para sistemas con varias partes. Siguiente: explotación de vulnerabilidades de JWT.