Генератор і підпис JWT

Що робить інструмент

JSON Web Token (JWT, RFC 7519) — компактний, безпечний для URL рядок із трьох частин, розділених крапками: заголовка з алгоритмом підпису, корисного навантаження з твердженнями (claims) і підпису перших двох частин. API використовують JWT як bearer-токени, провайдери ідентичності — як ID-токени.

Інструмент створює та підписує токен із JSON-корисного навантаження. Підтримуються:

• HS256, HS384, HS512: HMAC зі спільним секретом у вигляді тексту чи Base64.
• RS256, RS384, RS512 і PS256, PS384, PS512: підписи RSA із закритим ключем PEM.
• ES256, ES384, ES512: підписи ECDSA із закритим ключем EC.

Як користуватися

1. Запишіть корисне навантаження як JSON-об’єкт або натисніть Приклад.
2. Виберіть Алгоритм і введіть секрет або вставте закритий ключ PEM у верхній частині поля введення.
3. За бажанням встановіть iat на поточний час, додайте термін дії (exp) або додаткові поля заголовка, наприклад ID ключа.
4. Скопіюйте токен із виводу. Вставте його в декодер JWT, щоб переглянути вміст.

Приклад

Із секретом your-256-bit-secret наведене корисне навантаження, підписане HS256, дає відомий приклад токена з jwt.io:

{"sub":"1234567890","name":"John Doe","iat":1516239022}

Заголовок завжди записується як {"alg":"HS256","typ":"JWT"}, після чого йдуть додані поля; alg завжди відповідає вибраному алгоритму.

Рекомендації

Робіть токени короткоживучими за допомогою exp і задавайте iss та aud, щоб токен для одного сервісу не можна було повторно використати в іншому. На сервері завжди перевіряйте підпис із явним списком дозволених алгоритмів і відхиляйте none. Секрети HMAC мають бути довгими й випадковими, не коротшими за вихід хешу (32 байти для HS256).