JWT-generator

En JWT-generator, der bygger og signerer JSON Web Tokens fra din payload og hemmelighed, helt i din browser med Web Crypto API. Den passer sammen med JWT-afkoderen, der inspicerer et eksisterende token.

En JWT har tre dele adskilt af punktummer: en header, en payload af claims og en signatur, hver Base64url-kodet. Signaturen er det, der gør tokenet troværdigt: den beviser, at payloaden ikke er blevet ændret, og at den blev udstedt af nogen, der holder hemmeligheden.

Dette værktøj signerer med HS256, altså HMAC med SHA-256, den mest almindelige symmetriske JWT-algoritme. Den samme hemmelighed både signerer og verificerer tokenet, så den skal holdes privat på serveren.

Til HS256 skal du bruge en lang, tilfældig hemmelighed. En kort eller gættelig hemmelighed underminerer hele tokenet, da enhver, der gætter den, kan udstede gyldige tokens af egen tilvirkning.

Et vigtigt punkt om JWT'er: payloaden er kun kodet, ikke krypteret. Enhver med tokenet kan læse dets claims ved at Base64-afkode dem, så læg aldrig adgangskoder eller følsomme data i en JWT. Signaturen stopper manipulation, den giver ikke hemmeligholdelse.

Fordi signering sker lokalt, forlader din hemmelighed og payload aldrig din enhed. Alligevel bør du undgå at indsætte rigtige produktionshemmeligheder på en delt eller offentlig computer.