Gerador de JWT

Um gerador de JWT que constrói e assina JSON Web Tokens a partir do seu payload e segredo, inteiramente no seu navegador usando a Web Crypto API. Ele se combina com o decodificador de JWT, que inspeciona um token existente.

Um JWT tem três partes separadas por pontos: um cabeçalho, um payload de claims e uma assinatura, cada um codificado em Base64url. A assinatura é o que torna o token confiável: ela prova que o payload não foi alterado e foi emitido por alguém que detém o segredo.

Esta ferramenta assina com HS256, que é HMAC usando SHA-256, o algoritmo simétrico de JWT mais comum. O mesmo segredo tanto assina quanto verifica o token, então ele deve ser mantido privado no servidor.

Para HS256, use um segredo longo e aleatório. Um segredo curto ou fácil de adivinhar mina o token inteiro, já que qualquer um que o adivinhe pode cunhar tokens válidos próprios.

Um ponto importante sobre JWTs: o payload é apenas codificado, não criptografado. Qualquer um com o token pode ler seus claims decodificando-os de Base64, então nunca coloque senhas ou dados sensíveis em um JWT. A assinatura impede a adulteração, ela não fornece sigilo.

Como a assinatura acontece localmente, seu segredo e payload nunca saem do seu dispositivo. Mesmo assim, evite colar segredos reais de produção em um computador compartilhado ou público.