Local ante todo: las claves y las firmas que pegas se quedan en tu navegador
La casa de las firmas digitales.
ECDSA firma la mayor parte de internet actual: TLS, SSH, JWT, llaves de acceso, Bitcoin y Ethereum. Cuando una firma no pasa la verificación, aquí es donde la depuras: herramientas gratuitas que detectan automáticamente curvas, formatos y codificaciones, y explican qué falla en realidad.
La detección se hace localmente en tu navegador: nada de lo que pegas sale de la página.
- herramientas gratuitas
- 91
- sin muro de pago ni periodo de prueba
- se ejecutan por completo en tu navegador
- 64/91
- las demás indican qué envían
- cuentas necesarias
- 0
- abre una herramienta y pega
- horizonte del borrador del NIST
- 2035
- firmas clásicas no permitidas
Signature Lab
Herramientas gratuitas que hacen la criptografía en tu navegador: sin cuentas, y nada de lo que pegas se envía a ningún sitio. Las pocas herramientas que necesitan consultar datos públicos —un dominio, una URL, una dirección de Bitcoin— lo indican en su página antes de hacerlo.
Explorar por categoría
- Firmas7 herramientasVerifica una firma, convierte su codificación, averigua por qué no se verifica, genera vectores de prueba, observa la aritmética de curva elíptica que hay debajo y divide un secreto en fragmentos de Shamir: todas las herramientas se ejecutan en tu navegador.
- JOSE y JWT9 herramientasFirma, decodifica y verifica JSON Web Tokens, descifra JWE, lee tokens PASETO, genera claves y conviértelas entre JWK, PEM y SSH, y crea o comprueba los conjuntos de claves que hay detrás, con explicaciones claras de qué está mal.
- Certificados y claves17 herramientasDecodifica certificados, solicitudes de firma, listas de revocación, respuestas OCSP y marcas de tiempo de Certificate Transparency; genera una CSR y su clave, comprueba que una clave, un certificado y una CSR se corresponden, compara dos certificados, ordena una cadena y obtén los intermedios que faltan, calcula pines SPKI y prueba claves en busca de debilidades conocidas; abre archivos PFX, divide bundles PEM, explora ASN.1 en bruto y crea el comando openssl que necesitas. Las claves se quedan en tu navegador; las pocas comprobaciones que necesitan nuestro servidor indican qué envían antes de enviarlo.
- TLS y DNS9 herramientasGenera una configuración TLS para tu servidor, prepárate para los certificados de 47 días, publica registros CAA, TLSA y security.txt, sigue la cadena de confianza de DNSSEC, comprueba si tu navegador ya usa TLS poscuántico y revisa muchos dominios a la vez. Cada página indica exactamente qué envía por la red, si es que envía algo.
- Correo electrónico5 herramientasAverigua por qué falla una firma DKIM, mira qué registró cada reenviador en una cadena ARC, crea la clave y el registro DNS para tu propio dominio y comprueba el registro BIMI de una marca y su certificado de marca (Mark Certificate). Las herramientas de DKIM y ARC analizan los mensajes en tu navegador y solo consultan nombres de claves públicas mediante DNS-over-HTTPS; el análisis completo de SPF, DKIM, DMARC, ARC, BIMI y MTA-STS se ejecuta en nuestro servidor y envía el mensaje solo después de que des tu consentimiento.
- Web313 herramientasDecodifica una transacción de Ethereum en bruto o una delegación EIP-7702, lee qué cedería una firma de datos tipados antes de firmarla, verifica quién firmó un mensaje de Ethereum o un inicio de sesión, compara los hashes de una transacción de Safe con tu billetera de hardware, busca nonces de ECDSA reutilizados, inspecciona PSBT y xpub, y verifica firmas de Bitcoin (BIP-137/322), Solana y Nostr. Todo se ejecuta en tu navegador; las consultas a la cadena de bloques van a un nodo RPC público solo cuando lo pides. Nunca se aceptan frases semilla ni claves privadas.
- Criptografía poscuántica6 herramientasCriptografía poscuántica en la práctica: firma con ML-DSA y SLH-DSA, encapsula con ML-KEM y con el híbrido X25519MLKEM768 que los navegadores ya usan, mide el rendimiento de más de 100 algoritmos de liboqs e inspecciona certificados PQ, HPKE y age, todo en tu navegador y sin subir nada.
- Identidad y llaves de acceso12 herramientasRegístrate e inicia sesión con una llave de acceso real e identifica el autenticador que hay detrás gracias al servicio de metadatos de FIDO, valida tokens de ID de OpenID Connect y respuestas SAML, inspecciona las credenciales de la Cartera Europea de Identidad Digital (SD-JWT VC y mdoc), pruebas DPoP, COSE y CWT, y solicitudes HTTP firmadas por bots y agentes de IA. Los tokens y las claves se comprueban en tu navegador; la consulta de autenticadores solo pide metadatos públicos a nuestro servidor.
- Firma de código y documentos12 herramientasAntes de ejecutar una versión, comprueba qué es en realidad. Verifica bundles de Sigstore y la procedencia de npm hasta el repositorio, el flujo de trabajo y el commit que los generaron, lee atestaciones SLSA e in-toto, comprueba commits de Git y archivos firmados con SSH según allowed_signers, e inspecciona las firmas de ejecutables de Windows, APK de Android y archivos Java (JAR). También documentos y contenido multimedia: verifica firmas PDF (PAdES, LTV) y correo firmado (S/MIME) sin subir nada, decodifica sellos de tiempo RFC 3161, lee las credenciales de contenido (Content Credentials, C2PA) de imágenes y videos, y demuestra que una clave se generó en una YubiKey. Los archivos y las claves se quedan en tu navegador; el comprobador de npm consulta al registro público el paquete que indicas, y la segunda comprobación opcional de Sigstore envía a nuestro servidor solo el bundle y el resumen del archivo.
- OpenPGP1 herramientaPega una clave, una firma o un mensaje con armadura ASCII, o abre un archivo .gpg, .sig o .asc, y verás cada paquete: subclaves, ID de usuario y autofirmas, caducidad y revocación, y algoritmos, incluidas las claves v6 del RFC 9580 y los nuevos ID poscuánticos. Verifica con la clave pública del firmante firmas separadas, en texto claro e integradas, como hace gpg --verify, pero sin instalar GnuPG. Todo se ejecuta en tu navegador y las claves privadas se rechazan sin llegar a leerse.
Herramientas destacadas
Diagnóstico de errores de firma
Averigua por qué falla la verificación
¿Tu firma parece válida, pero la verificación falla? Pega la clave, el mensaje y la firma, y la herramienta probará las causas habituales de discrepancia: hash equivocado, curva equivocada, confusión de codificación, high-S y doble hash.
Abrir herramientaComprobador de reutilización de nonces
Escanea una dirección de Bitcoin en busca de valores de r repetidos
El error fatal de ECDSA por excelencia: firmar dos veces con el mismo nonce revela la clave privada. Pega una dirección de Bitcoin y el comprobador buscará en sus firmas históricas valores de r repetidos, la huella de la reutilización del nonce.
Abrir herramientaConstructor de comandos OpenSSL
Crea el comando openssl que necesitas
Elige una tarea —claves EC o RSA, certificados autofirmados, CSR, paquetes PKCS#12, firmas, pruebas de TLS—, rellena los huecos y copia un comando que funciona, con cada opción explicada. Pega un comando que hayas encontrado en cualquier parte y también te lo explica.
Abrir herramientaFirmador de JWT
Firma tokens con tu propia clave
Construye un JWT a partir de un encabezado y unos claims, define iat, nbf y exp con tiempos relativos y fírmalo con cualquier algoritmo JOSE: HMAC, RSA, RSA-PSS, ECDSA o EdDSA. La clave se queda en tu navegador.
Abrir herramientaExplorador de ASN.1
Decodifica cualquier estructura DER o BER
Pega PEM, base64 o hex, o suelta un archivo DER, y recorre su árbol ASN.1 con desplazamientos en bytes, nombres de OID y hex resaltado. Señala cada punto que es BER pero no DER.
Abrir herramientaGenerador de CSR
Crea localmente una CSR y su clave
Crea una solicitud de firma de certificado PKCS #10 con una clave generada en tu navegador o con tu propia clave. Obtén los archivos PEM y el comando openssl req equivalente; la clave privada nunca sale de la página.
Abrir herramientaGenerador de configuración TLS
Configuraciones SSL para 28 servidores
Ajustes TLS para nginx, Apache, HAProxy, Caddy, Postfix, Node.js, Go, Java, .NET y otros 19 servidores según las directrices de TLSRef —continuación de las de Mozilla—, con intercambio de claves poscuántico donde tu versión lo admita, y una explicación de la configuración que ya usas.
Abrir herramientaCalculadora de certificados de 47 días
Planifica las renovaciones para 200 → 100 → 47 días
Los certificados TLS de confianza pública pasan de 398 a 200, 100 y, por último, 47 días de aquí a 2029. Descubre qué significa eso para tus certificados: renovaciones y validaciones de dominio por año, los próximos plazos y dónde falla tu política de renovación.
Abrir herramientaComprobación de TLS poscuántico del navegador
¿Tu navegador usa ML-KEM?
Con un clic ves si tu navegador negocia con Cloudflare el híbrido poscuántico X25519MLKEM768, por TLS sobre TCP y dentro de QUIC (HTTP/3), si eso es lo que debería hacer según su versión y qué cambian los proxies que interceptan el tráfico o las versiones antiguas.
Abrir herramientaDepurador de DKIM
Por qué falla una firma DKIM, paso a paso
Pega un correo en bruto y observa cómo se comprueba cada firma DKIM: canonicalización simple y relaxed con cada cambio resaltado, los hashes del cuerpo y del encabezado, la clave del DNS. Cuando una firma falla, el depurador reconstruye lo que vio el firmante e indica el cambio que la rompió.
Abrir herramientaInspector de EIP-712
Qué permite realmente una firma de datos tipados
Pega los datos tipados que un sitio le pide firmar a tu billetera y lee, en palabras sencillas, qué permite la firma: permits de tokens, límites de gasto de Permit2 y órdenes de Seaport, Blur, LooksRare y CoW. Señala aprobaciones ilimitadas, anuncios que no te pagan nada, plazos muy lejanos, la cadena equivocada y contratos de imitación.
Abrir herramientaDecodificador de transacciones de Ethereum
Decodifica transacciones firmadas en bruto
Pega una transacción en bruto o un objeto de eth_getTransactionByHash: todos los campos, el remitente recuperado de la firma, la llamada a función decodificada y advertencias sobre delegaciones y aprobaciones ilimitadas. Todos los sobres, desde las transacciones heredadas hasta EIP-7702.
Abrir herramientaFirmas poscuánticas
Firma y verifica con ML-DSA, SLH-DSA y Falcon
Genera claves, firma y verifica con ML-DSA, SLH-DSA y Falcon, con cadenas de contexto, modo pre-hash y modo determinista. Comprueba cuánto más grandes son las claves y las firmas poscuánticas que las de ECDSA y Ed25519.
Abrir herramientaEntorno de pruebas de llaves de acceso
Prueba el registro y el inicio de sesión con llaves de acceso
Registra una llave de acceso real y autentícate con ella ante una relying party que se ejecuta en esta página: las opciones de WebAuthn, cada paso de verificación de §7.1 y §7.2, los indicadores, la atestación y el registro de credencial.
Abrir herramientaVerificador de bundles de Sigstore
Bundles de cosign, npm y de atestación de GitHub
Verifica un bundle de Sigstore con el archivo que firma y la identidad que esperas: el certificado de Fulcio y sus SCT, la entrada de Rekor con su prueba de inclusión y su checkpoint, los sellos de tiempo firmados y RFC 3161, y las firmas DSSE y de mensaje, todo sin conexión, como cosign verify-blob.
Abrir herramientaVerificador de firmas SSH
Archivos de ssh-keygen -Y, commits y etiquetas firmados
Comprueba una firma SSHSIG hecha con ssh-keygen -Y sign, o un commit o una etiqueta de Git firmados con una clave SSH, frente a un archivo allowed_signers: espacios de nombres, principals, periodos de validez y certificados SSH, con las mismas reglas que ssh-keygen.
Abrir herramientaVerificador de firmas PDF
Comprueba firmas PDF sin subir el archivo
Suelta un PDF firmado para ver qué cubre cada firma, si el documento cambió después de la firma, quién lo firmó y cuándo. PAdES, CMS, los sellos de tiempo RFC 3161 y los datos LTV se comprueban en tu navegador: el archivo nunca se sube.
Abrir herramientaCómo funciona Signature Lab
Pensado como un banco de trabajo, no como un servicio web: la página es toda la máquina.
Pega tu material
Una clave pública, un JWT, un certificado, una firma rebelde: cualquier cosa que no se deje verificar. Sin registro y sin botón para subir archivos.
Análisis en tu navegador
Las curvas, los formatos y las codificaciones se detectan automáticamente y se comprueban en la propia pestaña, con WebCrypto y bibliotecas de código abierto auditadas. Tus claves y firmas nunca tocan la red.
Una respuesta, con su porqué
No se limitan a decir válida o no válida: las herramientas prueban las causas habituales de discrepancia y explican el mecanismo real en lenguaje claro.
Desde el código y desde agentes de IA
Los motores de las herramientas también responden a tus scripts, pipelines y asistentes.
API REST
API de firmas gratuita
Verifica firmas ECDSA, convierte DER ⇄ raw, decodifica y verifica JWT y certificados, califica un dominio: JSON simple sobre HTTPS, sin necesidad de clave de API. Las solicitudes que contienen una clave privada se rechazan antes de procesar nada.
Documentación de la APISDK
Bibliotecas de cliente en ocho lenguajes
TypeScript, Python, Go, Java, C#, PHP, Rust y Ruby, todas sometidas a una misma batería de pruebas de conformidad; cada una se niega a enviar una clave privada antes de que la solicitud salga de tu equipo. La publicación en los registros de paquetes está en preparación.
Leer sobre los SDKMCP
Un servidor para agentes de IA
Apunta cualquier cliente de Model Context Protocol a https://ecdsa.com/api/mcp: la verificación de firmas, la decodificación de JWT y certificados, el diagnóstico de dominios y las consultas de referencia se convierten en herramientas que tu asistente puede invocar.
Nueva investigación · 500 dominios medidos
El estado de las firmas en la web
Analizamos los sitios con más tráfico de internet con el mismo motor que impulsa nuestro evaluador de dominios. RSA sigue superando a ECDSA por 62/38, una cuarta parte de ellos aún responde a un handshake TLS 1.0 y apenas el uno por ciento sobreviviría al límite de 47 días para los certificados que llega en 2029. Los gráficos, la metodología y los datos en bruto son públicos.
Leer el informeMás allá de Signature Lab
Dos comprobaciones de mayor alcance para lo que tienes en producción:
Comprobación de dominios
Signature Health: califica tu dominio de la A a la F
Cadena de certificados, algoritmos de clave, versión mínima del protocolo, las nuevas reglas de vida útil de 47 días y preparación poscuántica: un análisis, una letra, una insignia para el README y alertas de caducidad gratuitas. El dominio que introduces se analiza desde nuestro servidor.
10 preguntas
Planificador de migración a PQC
Responde diez preguntas sobre tu stack y obtén un plan de migración poscuántica priorizado según el calendario del borrador del NIST, generado en local y exportable a Markdown o PDF.
NIST IR 8547
ECDSA tiene fecha de retirada.
El borrador del plan de transición del NIST dejaría de permitir las firmas actuales de curva elíptica y RSA después de 2035, en favor de algoritmos poscuánticos. Mientras tanto, la vida útil de los certificados TLS se reduce de 200 días (2026) a 47 días (2029). Saber exactamente dónde y cómo firman tus sistemas deja de ser opcional mucho antes de cualquiera de las dos fechas.
Cuenta atrás hasta el final de 2035
…hasta la fecha en que NIST IR 8547 (borrador público inicial) declararía no permitidos para uso federal los algoritmos de firma clásicos —ECDSA, EdDSA y RSA, con cualquier tamaño de clave—. Es la fecha de referencia para P-256 y RSA-3072.
Un paso anterior, dentro de ~— años: los conjuntos de parámetros de 112 bits —RSA-2048 y P-224— quedan obsoletos después de 2030, es decir, se pueden seguir usando, pero con un riesgo reconocido. Está previsto, no es urgente, pero el inventario que hace manejable cualquiera de las dos fechas tarda más en construirse que el propio cambio.
Aprender
Los conceptos detrás de las herramientas: breves, precisos y sin vaguedades.
Curso gratuito · 7 lecciones
Firmas a mano
Aprende ECDSA calculándolo. Suma puntos en una curva diminuta, deriva una clave pública, genera una firma a mano y, después, hazlo de verdad con P-256 y diagnostica una firma que falla.
Lo que viene
Signature Lab es el primer paso. Estamos construyendo la plataforma a su alrededor:
Ya disponible
Escáner de repositorios
Una CLI sin dependencias que localiza todos los puntos en los que tu código firma o verifica: bibliotecas, curvas, manejo de claves, configuración de JWT; los hallazgos se ordenan por nivel de confianza. Salida en texto, JSON y SARIF.
npx ecdsa-scan . →En desarrollo
Inventario de firma
Un único mapa que va del repositorio a la clave y de la clave al entorno: qué claves existen, qué firman, qué algoritmos usan y qué hay que migrar antes de los plazos poscuánticos.
En planificación
Monitorización en tiempo de ejecución
Integraciones de solo lectura con AWS KMS y Vault que convierten los eventos de firma en bruto en una imagen clara: qué clave firmó qué, desde dónde y con qué política.