Generator JWT-a

Generator JWT-a koji izgrađuje i potpisuje JSON Web Tokene iz vašeg sadržaja i tajne, u potpunosti u vašem pregledniku pomoću Web Crypto API-ja. Uparuje se s JWT dekoderom, koji pregledava postojeći token.

JWT ima tri dijela odvojena točkama: zaglavlje, sadržaj tvrdnji i potpis, svaki kodiran u Base64url. Potpis je ono što token čini pouzdanim: dokazuje da sadržaj nije izmijenjen i da ga je izdao netko tko drži tajnu.

Ovaj alat potpisuje s HS256, odnosno HMAC pomoću SHA-256, najčešćim simetričnim JWT algoritmom. Ista tajna i potpisuje i verificira token, pa se mora čuvati privatno na poslužitelju.

Za HS256 upotrijebite dugu, nasumičnu tajnu. Kratka ili lako pogodiva tajna potkopava cijeli token, jer svatko tko je pogodi može kovati vlastite valjane tokene.

Važna stvar o JWT-ovima: sadržaj je samo kodiran, ne šifriran. Svatko s tokenom može pročitati njegove tvrdnje Base64 dekodiranjem, pa nikada ne stavljajte lozinke ni osjetljive podatke u JWT. Potpis zaustavlja neovlašteno mijenjanje, ne pruža tajnost.

Budući da se potpisivanje odvija lokalno, vaša tajna i sadržaj nikada ne napuštaju vaš uređaj. Ipak, izbjegavajte lijepljenje stvarnih produkcijskih tajni na dijeljenom ili javnom računalu.