Así se ve lo que entregamos.

Descripción

La API emite tokens JWT firmados con HS256 usando un secreto corto y presente en diccionarios públicos de contraseñas. Con un token propio, obtenido al registrar una cuenta gratuita, el secreto se recuperó por fuerza bruta fuera de línea. Conociendo el secreto, es posible firmar tokens con cualquier rol, incluido admin, que la API acepta. Además, los tokens no incluyen exp: un token filtrado sigue siendo válido indefinidamente.

Impacto de negocio

Cualquier persona en internet puede obtener control administrativo total de la tienda. Es una brecha de datos personales con obligación de notificación según la LOPDP y un riesgo directo de fraude.

Evidencia (simulada) · token decodificado, sin campo exp

{ "alg": "HS256", "typ": "JWT" }
{ "sub": "usr_8f2c1a", "email": "cliente.a@tienda.example", "role": "customer", "iat": 1791100800 }

Recomendación

Migrar a firma asimétrica (ES256) con la clave privada en un gestor de secretos, expiración de 15 minutos con renovación revocable, aceptar solo el algoritmo esperado e invalidar todos los tokens anteriores.

// auth.module.ts (NestJS)
JwtModule.registerAsync({
  inject: [ConfigService],
  useFactory: (cfg: ConfigService) => ({
    privateKey: cfg.getOrThrow('JWT_PRIVATE_KEY'), // desde el gestor de secretos
    publicKey: cfg.getOrThrow('JWT_PUBLIC_KEY'),
    signOptions: { algorithm: 'ES256', expiresIn: '15m' },
    verifyOptions: { algorithms: ['ES256'] },
  }),
});