Γεννήτρια και επαλήθευση JWT

Πώς να δημιουργήσετε ένα υπογεγραμμένο JWT

1. Επιλέξτε τον Αλγόριθμο: HS256/384/512 (κοινό μυστικό), RS256/384/512 ή PS256/384/512 (RSA), ES256/384/512 (ECDSA σε P-256, P-384 ή P-521) ή EdDSA (Ed25519, όταν το υποστηρίζει το πρόγραμμα περιήγησής σας).
2. Επεξεργαστείτε την Κεφαλίδα (JSON) και το Φορτίο (ισχυρισμοί JSON). Το πεδίο alg ακολουθεί πάντα τον επιλεγμένο αλγόριθμο και το typ έχει ως προεπιλογή JWT.
3. Χρησιμοποιήστε τα κουμπιά χρονικών ισχυρισμών για να προσθέσετε ημερομηνίες: iat = τώρα, nbf = τώρα, ή επιλέξτε μια καθυστέρηση όπως «σε 1 ώρα» και πατήστε Ορισμός exp. Οι τιμές είναι NumericDate: δευτερόλεπτα από την 1η Ιανουαρίου 1970 UTC.
4. Εισαγάγετε το Μυστικό (αλγόριθμοι HS, ως κείμενο ή Base64/Base64url στη Μορφή μυστικού) ή το Ιδιωτικό κλειδί (PEM ή JWK). Δεν έχετε ακόμη κλειδί; Πατήστε Δημιουργία δοκιμαστικού κλειδιού.
5. Πατήστε Υπογραφή token και μετά Αντιγραφή του αποτελέσματος ή Επαλήθευση αυτού του token για άμεσο έλεγχο.

Πώς να επαληθεύσετε ένα JWT

1. Επικολλήστε το token στο πεδίο Token προς επαλήθευση.
2. Επιλέξτε τον Αναμενόμενο αλγόριθμο. Αν τον αφήσετε στο «Από την κεφαλίδα του token», γίνεται δεκτό ό,τι λέει η κεφαλίδα, εκτός από το none· αν επιλέξετε συγκεκριμένο αλγόριθμο, το εργαλείο απορρίπτει κάθε token που έχει υπογραφεί διαφορετικά, όπως πρέπει να κάνει ένας πραγματικός διακομιστής.
3. Εισαγάγετε το μυστικό ή το Δημόσιο κλειδί (PEM ή JWK): ένα μπλοκ PEM PUBLIC KEY, RSA PUBLIC KEY ή CERTIFICATE, ένα JWK ή ένα JWK Set (χρησιμοποιείται το κλειδί του οποίου το kid ταιριάζει με την κεφαλίδα).
4. Προαιρετικά ορίστε Ανοχή ρολογιού (δευτερόλεπτα) για μικρές διαφορές ώρας και πατήστε Επαλήθευση token.

Το αποτέλεσμα δείχνει αν η υπογραφή είναι έγκυρη και στη συνέχεια ελέγχει τα exp (λήξη) και nbf (ισχύει από) με την τρέχουσα ώρα του υπολογιστή σας. Ένα token με σωστή υπογραφή αλλά λήξη στο παρελθόν αναφέρεται ως ληγμένο, όχι ως έγκυρο.

Κλειδιά και μορφές

Για την υπογραφή, το εργαλείο δέχεται μπλοκ PKCS#8 PRIVATE KEY, PKCS#1 RSA PRIVATE KEY και SEC1 EC PRIVATE KEY (που μετατρέπονται εσωτερικά σε PKCS#8) καθώς και ιδιωτικά JWK. Τα κλειδιά με κωδικό πρόσβασης πρέπει πρώτα να εξαχθούν χωρίς κωδικό. Η Δημιουργία δοκιμαστικού κλειδιού φτιάχνει ένα τυχαίο μυστικό με μέγεθος ίσο με της συνάρτησης κατακερματισμού για τους αλγορίθμους HS, ζεύγος κλειδιών RSA 2048 bit για RS και PS, την αντίστοιχη καμπύλη για ES ή ζεύγος Ed25519. Τα κλειδιά δίνονται ως PEM και JWK και συμπληρώνονται και στις δύο πλευρές, ώστε ο κύκλος υπογραφής και επαλήθευσης να λειτουργεί αμέσως.

Οι υπογραφές ακολουθούν τα RFC 7515 και RFC 7518: το RSA-PSS χρησιμοποιεί salt ίσου μήκους με τη συνάρτηση κατακερματισμού και οι υπογραφές ECDSA είναι η ωμή συνένωση r||s. Η υλοποίηση αναπαράγει το παράδειγμα HS256 του RFC 7515, Παράρτημα A.1.

Σημειώσεις ασφαλείας

• Όλα εκτελούνται στο πρόγραμμα περιήγησής σας με το Web Crypto API. Ούτε τα tokens ούτε τα κλειδιά στέλνονται πουθενά, αλλά και πάλι προτιμήστε δοκιμαστικά κλειδιά αντί για μυστικά παραγωγής.
• Το alg: none δεν υπογράφεται ποτέ και δεν γίνεται ποτέ δεκτό.
• Τα μυστικά HMAC πρέπει να είναι τουλάχιστον τόσο μεγάλα όσο η έξοδος του κατακερματισμού (32 byte για το HS256). Ένα μικρότερο μυστικό προκαλεί προειδοποίηση.
• Η υπογραφή αποδεικνύει ακεραιότητα και προέλευση, όχι ότι οι ισχυρισμοί είναι κατάλληλοι: οι διακομιστές πρέπει να ελέγχουν και τα iss, aud και τα scopes.