JWT-generator

Een JWT-generator die JSON Web Tokens bouwt en ondertekent op basis van je payload en secret, volledig in je browser met de Web Crypto API. Hij vormt een paar met de JWT-decoder, die een bestaand token inspecteert.

Een JWT heeft drie delen gescheiden door punten: een header, een payload met claims, en een signature, elk Base64URL gecodeerd. De signature maakt het token betrouwbaar: het bewijst dat de payload niet is gewijzigd en is uitgegeven door iemand die het secret bezit.

Deze tool ondertekent met HS256, dat wil zeggen HMAC met SHA-256, het meest voorkomende symmetrische JWT-algoritme. Hetzelfde secret ondertekent en verifieert het token, dus het moet privé blijven op de server.

Gebruik voor HS256 een lang, willekeurig secret. Een kort of raadbaar secret ondermijnt het hele token, want iedereen die het raadt kan zelf geldige tokens aanmaken.

Een belangrijk punt over JWT's: de payload is alleen gecodeerd, niet versleuteld. Iedereen met het token kan de claims lezen door ze via Base64 te decoderen, dus zet nooit wachtwoorden of gevoelige gegevens in een JWT. De signature voorkomt manipulatie, het biedt geen geheimhouding.

Omdat het ondertekenen lokaal gebeurt, verlaten je secret en payload je apparaat nooit. Vermijd toch het plakken van echte productie-secrets op een gedeelde of openbare computer.