JWT-Generator

Ein JWT-Generator, der aus deiner Payload und deinem Secret JSON Web Tokens erstellt und signiert, komplett in deinem Browser über die Web Crypto API. Er passt zum JWT-Decoder, der einen vorhandenen Token untersucht.

Ein JWT besteht aus drei durch Punkte getrennten Teilen: einem Header, einer Payload mit Claims und einer Signatur, jeweils Base64URL-kodiert. Die Signatur macht den Token vertrauenswürdig: Sie belegt, dass die Payload nicht verändert wurde und von jemandem ausgestellt wurde, der das Secret besitzt.

Dieses Tool signiert mit HS256, also HMAC mit SHA-256, dem gängigsten symmetrischen JWT-Algorithmus. Dasselbe Secret signiert und verifiziert den Token, es muss also auf dem Server geheim bleiben.

Verwende für HS256 ein langes, zufälliges Secret. Ein kurzes oder erratbares Secret untergräbt den gesamten Token, denn wer es errät, kann sich eigene gültige Tokens ausstellen.

Ein wichtiger Punkt zu JWTs: Die Payload ist nur kodiert, nicht verschlüsselt. Jeder mit dem Token kann seine Claims durch Base64-Dekodierung lesen, lege also nie Passwörter oder sensible Daten in ein JWT. Die Signatur verhindert Manipulation, sie sorgt nicht für Geheimhaltung.

Da das Signieren lokal geschieht, verlassen dein Secret und deine Payload dein Gerät nie. Vermeide es trotzdem, echte Produktions-Secrets an einem gemeinsam genutzten oder öffentlichen Computer einzufügen.