Generatore di JWT

Un generatore di JWT che crea e firma i JSON Web Token a partire dal tuo payload e dal tuo segreto, interamente nel tuo browser tramite la Web Crypto API. Si abbina al decoder JWT, che esamina un token esistente.

Un JWT ha tre parti separate da punti: un header, un payload di claim e una firma, ciascuna codificata in Base64url. La firma è ciò che rende affidabile il token: dimostra che il payload non è stato alterato ed è stato emesso da qualcuno che possiede il segreto.

Questo strumento firma con HS256, cioè HMAC che usa SHA-256, l'algoritmo JWT simmetrico più comune. Lo stesso segreto sia firma sia verifica il token, quindi deve essere mantenuto privato sul server.

Per HS256, usa un segreto lungo e casuale. Un segreto corto o facile da indovinare compromette l'intero token, poiché chiunque lo indovini può coniare token validi propri.

Un punto importante sui JWT: il payload è solo codificato, non cifrato. Chiunque abbia il token può leggerne i claim decodificandoli da Base64, quindi non mettere mai password o dati sensibili in un JWT. La firma impedisce le manomissioni, non fornisce segretezza.

Poiché la firma avviene localmente, il tuo segreto e il tuo payload non lasciano mai il tuo dispositivo. Anche così, evita di incollare segreti di produzione reali su un computer condiviso o pubblico.