1. **`alg: none`**: algunas librerías (mal configuradas o viejas) aceptan un token con el header `alg` en `none` y sin firma — si el servidor no verifica explícitamente que el algoritmo esperado coincide, el atacante forja cualquier payload sin conocer ningún secreto. 2. **Confusión de algoritmo ...
