Gerador de JWT

Um gerador de JWT que constrói e assina JSON Web Tokens a partir da sua carga útil e do seu segredo, inteiramente no seu navegador usando a Web Crypto API. Combina com o descodificador de JWT, que inspeciona um token existente.

Um JWT tem três partes separadas por pontos: um cabeçalho, uma carga útil de reivindicações, e uma assinatura, cada uma codificada em Base64url. A assinatura é o que torna o token fidedigno: prova que a carga útil não foi alterada e que foi emitida por alguém que detém o segredo.

Esta ferramenta assina com HS256, ou seja, HMAC usando SHA-256, o algoritmo JWT simétrico mais comum. O mesmo segredo assina e verifica o token, por isso tem de ser mantido privado no servidor.

Para o HS256, usa um segredo longo e aleatório. Um segredo curto ou adivinhável mina todo o token, já que qualquer pessoa que o adivinhe pode cunhar tokens válidos por conta própria.

Um ponto importante sobre os JWT: a carga útil é apenas codificada, não encriptada. Qualquer pessoa com o token pode ler as suas reivindicações descodificando-as em Base64, por isso nunca coloque palavras-passe ou dados sensíveis num JWT. A assinatura impede a adulteração, não fornece sigilo.

Como a assinatura acontece localmente, o seu segredo e a sua carga útil nunca saem do seu dispositivo. Ainda assim, evita colar segredos reais de produção num computador partilhado ou público.