Generator JWT

Generator JWT, który buduje i podpisuje tokeny JSON Web Token z Twojego ładunku i sekretu, całkowicie w Twojej przeglądarce za pomocą interfejsu Web Crypto API. Łączy się z dekoderem JWT, który sprawdza istniejący token.

JWT ma trzy części oddzielone kropkami: nagłówek, ładunek z oświadczeniami i podpis, każda zakodowana w Base64url. Podpis jest tym, co czyni token godnym zaufania: dowodzi, że ładunek nie został zmieniony i został wystawiony przez kogoś, kto posiada sekret.

To narzędzie podpisuje za pomocą HS256, czyli HMAC z użyciem SHA-256, najczęstszego symetrycznego algorytmu JWT. Ten sam sekret podpisuje i weryfikuje token, więc musi pozostać prywatny na serwerze.

Dla HS256 użyj długiego, losowego sekretu. Krótki lub łatwy do odgadnięcia sekret podważa cały token, ponieważ każdy, kto go odgadnie, może tworzyć własne prawidłowe tokeny.

Ważna uwaga o JWT: ładunek jest tylko zakodowany, nie zaszyfrowany. Każdy, kto ma token, może odczytać jego oświadczenia, dekodując je z Base64, więc nigdy nie umieszczaj haseł ani wrażliwych danych w JWT. Podpis zapobiega manipulacji, nie zapewnia poufności.

Ponieważ podpisywanie odbywa się lokalnie, Twój sekret i ładunek nigdy nie opuszczają urządzenia. Mimo to unikaj wklejania prawdziwych produkcyjnych sekretów na współdzielonym lub publicznym komputerze.