Generator și verificator JWT

Cum creezi un JWT semnat

1. Alege Algoritm: HS256/384/512 (secret comun), RS256/384/512 sau PS256/384/512 (RSA), ES256/384/512 (ECDSA pe P-256, P-384 sau P-521) ori EdDSA (Ed25519, dacă browserul tău îl acceptă).
2. Editează Antet (JSON) și Conținut (revendicări JSON). Câmpul alg urmează întotdeauna algoritmul ales, iar typ este implicit JWT.
3. Folosește butoanele pentru revendicări de timp ca să adaugi date: iat = acum, nbf = acum, sau alege o durată, de exemplu „peste 1 oră”, și apasă Setează exp. Valorile sunt NumericDate: secunde de la 1 ianuarie 1970 UTC.
4. Introdu Secret (algoritmi HS, ca text sau Base64/Base64url în Format secret) sau Cheie privată (PEM sau JWK). Nu ai încă o cheie? Apasă Generează cheie de test.
5. Apasă Semnează token-ul, apoi Copiază rezultatul sau apasă Verifică acest token ca să îl verifici pe loc.

Cum verifici un JWT

1. Lipește token-ul în Token de verificat.
2. Alege Algoritm așteptat. Dacă lași „Din antetul token-ului (niciodată none)”, se acceptă orice indică antetul, cu excepția none; dacă alegi un algoritm anume, instrumentul refuză orice token semnat altfel, așa cum ar trebui să facă un server real.
3. Introdu secretul sau Cheie publică (PEM sau JWK): un bloc PEM PUBLIC KEY, RSA PUBLIC KEY sau CERTIFICATE, un JWK sau un JWK Set (se folosește cheia al cărei kid se potrivește cu antetul).
4. Dacă vrei, setează Toleranță de ceas (secunde) pentru a admite mici diferențe de ceas, apoi apasă Verifică token-ul.

Rezultatul spune dacă semnătura este validă, apoi verifică exp (expirare) și nbf (valabil de la) în raport cu ora curentă a calculatorului tău. Un token cu semnătură corectă, dar cu expirarea în trecut, este raportat ca expirat, nu ca valid.

Chei și formate

Pentru semnare, instrumentul acceptă blocuri PKCS#8 PRIVATE KEY, PKCS#1 RSA PRIVATE KEY și SEC1 EC PRIVATE KEY (convertite intern în PKCS#8), precum și JWK-uri private. Cheile protejate prin parolă trebuie exportate mai întâi fără parolă. Generează cheie de test creează un secret aleatoriu de dimensiunea hash-ului pentru algoritmii HS, o pereche de chei RSA de 2048 de biți pentru RS și PS, curba corespunzătoare pentru ES sau o pereche Ed25519. Primești cheile în PEM și JWK, iar ele sunt completate în ambele secțiuni, astfel că un circuit complet de semnare și verificare funcționează imediat.

Semnăturile respectă RFC 7515 și RFC 7518: RSA-PSS folosește un salt la fel de lung ca hash-ul, iar semnăturile ECDSA sunt concatenarea brută r||s. Implementarea reproduce exemplul HS256 din RFC 7515, Anexa A.1.

Note de securitate

• Totul rulează în browserul tău cu API-ul Web Crypto. Nici token-urile, nici cheile nu sunt trimise nicăieri, dar preferă totuși chei de test în locul secretelor de producție.
• alg: none nu este niciodată semnat și niciodată acceptat.
• Secretele HMAC trebuie să fie cel puțin la fel de lungi ca hash-ul (32 de octeți pentru HS256). Un secret mai scurt declanșează un avertisment.
• O semnătură dovedește integritatea și originea, nu că revendicările sunt adecvate: serverele trebuie să verifice și iss, aud și permisiunile (scopes).