Cómo usar: Generador PKCE
- Un code verifier y su challenge S256 se generan al momento; haz clic en Generar nuevo para obtener otro par, o pega tu propio verifier para ver su challenge.
- Rellena los endpoints de autorización y de token de tu proveedor, además de
client_id,redirect_uriyscope. - Abre la URL de autorización, inicia sesión y copia el
codede la redirección. - Ejecuta la petición de token (curl) con ese código. El verifier demuestra que tú iniciaste el login.
Cómo protege PKCE el inicio de sesión
PKCE (Proof Key for Code Exchange, RFC 7636) evita que un código de autorización robado pueda usarlo otra persona. La aplicación crea un secreto aleatorio, el code verifier, y envía solo su hash, el code challenge, con la petición de login. Al intercambiar el código recibido por tokens, envía el verifier original; el servidor lo hashea y comprueba que coincida. Un atacante que intercepte el código no tiene el verifier.
- El verifier tiene entre 43 y 128 caracteres de
A–Z a–z 0–9 - . _ ~. - S256:
code_challenge = BASE64URL(SHA256(code_verifier)), sin padding. - OAuth 2.1 exige PKCE para todos los clientes, incluidas las aplicaciones del lado del servidor, no solo las apps móviles y las SPA.
stateprotege contra CSRF;noncevincula un ID token de OpenID Connect a este login.
Decodifica los tokens que recibas con el JWT Decoder, o prueba la llamada al token en el API Tester.
También se busca como: code verifier generator, generar code challenge, pkce code challenge, oauth pkce, ejemplo oauth2 pkce, s256 code challenge, pkce online.
Herramientas que combinan con: Generador PKCE
- Generador de JWT — Crea un JWT para probar APIs: edita el payload, añade claims estándar con un clic y fírmalo con un secreto HMAC o con una clave privada RSA / EC.
- Generador de Hash — Calcula al instante hashes MD5 y SHA de cualquier texto o archivo, crea firmas HMAC y pega un checksum esperado para verificar una descarga.
- Codificación y descodificación Base64 — Convierte texto a Base64 y viceversa con compatibilidad total con UTF-8 (acentos, emojis), cambia a Base64 compatible con URL o arrastra un archivo para obtener su cadena Base64 o su URI de datos.
- Generador de contraseñas — Crea contraseñas seguras y verdaderamente aleatorias o frases de contraseña fáciles de escribir, con reglas avanzadas: incluye o excluye palabras, exige determinados caracteres, elige los símbolos permitidos, evita repeticiones y secuencias.
Preguntas frecuentes
¿Cómo se calcula el code challenge de PKCE?
Se toma el hash SHA-256 del code verifier (como bytes ASCII) y se codifica en base64url sin el padding «=». Ese es el método S256 que usa esta herramienta.
¿Qué longitud debe tener el code verifier?
Entre 43 y 128 caracteres. 43 caracteres de texto base64url aleatorio aportan 256 bits de aleatoriedad, que son más que suficientes; también puedes usar más.
¿Debo usar S256 o plain?
Siempre S256. plain envía el propio verifier como challenge, lo que no protege nada si alguien ve la petición. Solo existe para clientes que no pueden calcular SHA-256.
¿Se envían los valores a algún sitio?
No. Se generan con la API criptográfica del navegador y solo salen de la página si los copias o abres la URL de autorización.
¿Puedo instalar Generador PKCE como aplicación web y utilizarla sin conexión?
Sí. Generador PKCE es una aplicación web instalable (PWA): se instala desde el navegador, no se descarga desde una tienda de aplicaciones. Haz clic en «Instalar aplicación» en la parte superior de esta página en Chrome o Edge (Windows, macOS, Linux, ChromeOS) o, en Android, utiliza «Compartir» → «Añadir a la pantalla de inicio» en iPhone y iPad, o «Archivo» → «Añadir al Dock» en Safari 17+ en un Mac. A continuación, se abrirá en su propia ventana con su propio icono y, como se ejecuta íntegramente en tu navegador, seguirá funcionando sin conexión. Firefox en el ordenador de sobremesa no permite instalar aplicaciones web. Cómo funciona la instalación.