Генератор и подпись JWT

Что делает инструмент

JSON Web Token (JWT, RFC 7519) — компактная строка, безопасная для URL, из трёх частей, разделённых точками: заголовка с алгоритмом подписи, полезной нагрузки с утверждениями (claims) и подписи первых двух частей. API используют JWT как bearer-токены, провайдеры идентификации — как ID-токены.

Инструмент создаёт и подписывает токен из JSON-полезной нагрузки. Поддерживаются:

• HS256, HS384, HS512: HMAC с общим секретом в виде текста или Base64.
• RS256, RS384, RS512 и PS256, PS384, PS512: подписи RSA с закрытым ключом PEM.
• ES256, ES384, ES512: подписи ECDSA с закрытым ключом EC.

Как пользоваться

1. Напишите полезную нагрузку как JSON-объект или нажмите Пример.
2. Выберите Алгоритм и введите секрет или вставьте закрытый ключ PEM в верхней части поля ввода.
3. При желании задайте iat текущим временем, добавьте срок действия (exp) или дополнительные поля заголовка, например ID ключа.
4. Скопируйте токен из вывода. Вставьте его в декодер JWT, чтобы посмотреть содержимое.

Пример

С секретом your-256-bit-secret следующая полезная нагрузка, подписанная HS256, даёт известный пример токена с jwt.io:

{"sub":"1234567890","name":"John Doe","iat":1516239022}

Заголовок всегда записывается как {"alg":"HS256","typ":"JWT"}, за которым идут добавленные поля; alg всегда соответствует выбранному алгоритму.

Рекомендации

Делайте токены короткоживущими с помощью exp и задавайте iss и aud, чтобы токен для одного сервиса нельзя было повторно использовать в другом. На сервере всегда проверяйте подпись с явным списком разрешённых алгоритмов и отклоняйте none. Секреты HMAC должны быть длинными и случайными, не короче выхода хеша (32 байта для HS256).