Generátor a overovač JWT

Ako vytvoriť podpísaný JWT

1. Vyber Algoritmus: HS256/384/512 (zdieľané tajomstvo), RS256/384/512 alebo PS256/384/512 (RSA), ES256/384/512 (ECDSA na P-256, P-384 alebo P-521), prípadne EdDSA (Ed25519, ak ho tvoj prehliadač podporuje).
2. Uprav Hlavičku (JSON) a Obsah (JSON tvrdenia). Pole alg vždy zodpovedá vybranému algoritmu a typ je predvolene JWT.
3. Dátumy pridáš tlačidlami časových tvrdení: iat = teraz, nbf = teraz, alebo vyber platnosť, napríklad „o 1 hodinu“, a klikni na Nastaviť exp. Hodnoty sú NumericDate: sekundy od 1. januára 1970 UTC.
4. Zadaj Tajomstvo (algoritmy HS, ako text alebo Base64/Base64url v poli Formát tajomstva) alebo Súkromný kľúč (PEM alebo JWK). Ešte nemáš kľúč? Klikni na Generovať testovací kľúč.
5. Klikni na Podpísať token, potom výsledok Kopírovať, alebo klikni na Overiť tento token a hneď ho skontroluj.

Funguje v tvojom prehliadači. Nič, čo zadáš, sa neodosiela na server.

Ako overiť JWT

1. Vlož token do poľa Token na overenie.
2. Vyber Očakávaný algoritmus. Ak necháš „Z hlavičky tokenu (nikdy none)“, prijme sa všetko, čo hlavička uvádza, okrem none; ak zvolíš konkrétny algoritmus, nástroj odmietne každý token podpísaný inak, rovnako ako to má robiť skutočný server.
3. Zadaj tajomstvo alebo Verejný kľúč (PEM alebo JWK): blok PEM PUBLIC KEY, RSA PUBLIC KEY alebo CERTIFICATE, JWK alebo súbor JWK Set (použije sa kľúč, ktorého kid zodpovedá hlavičke).
4. Voliteľne nastav Toleranciu hodín (sekundy), aby sa tolerovali malé rozdiely v hodinách, a klikni na Overiť token.

Výsledok povie, či je podpis platný, a potom porovná exp (expirácia) a nbf (platné od) s aktuálnym časom tvojho počítača. Token so správnym podpisom, ale s expirovanou platnosťou sa ohlási ako expirovaný, nie ako platný.

Kľúče a formáty

Na podpisovanie nástroj prijíma bloky PKCS#8 PRIVATE KEY, PKCS#1 RSA PRIVATE KEY a SEC1 EC PRIVATE KEY (interne sa prevedú na PKCS#8) a súkromné JWK. Kľúče chránené heslom treba najprv exportovať bez hesla. Generovať testovací kľúč vytvorí pre algoritmy HS náhodné tajomstvo s dĺžkou hašu, pre RS a PS pár kľúčov RSA s 2048 bitmi, pre ES zodpovedajúcu krivku a pre EdDSA pár Ed25519. Kľúče dostaneš vo formáte PEM aj JWK a vyplnia sa na oboch stranách, takže celý cyklus podpísania a overenia funguje hneď.

Podpisy zodpovedajú RFC 7515 a RFC 7518: RSA-PSS používa soľ rovnako dlhú ako haš a podpisy ECDSA sú surové zreťazenie r||s. Implementácia reprodukuje príklad HS256 z RFC 7515, príloha A.1.

Bezpečnostné poznámky

• Všetko beží v tvojom prehliadači cez rozhranie Web Crypto. Tokeny ani kľúče sa nikam neodosielajú, no aj tak radšej používaj testovacie kľúče než produkčné tajomstvá.
• alg: none sa nikdy nepodpíše a nikdy neprijme.
• Tajomstvá HMAC by mali byť aspoň také dlhé ako haš (32 bajtov pri HS256). Kratšie tajomstvo vyvolá upozornenie.
• Podpis dokazuje integritu a pôvod, nie to, že tvrdenia sú vhodné: servery musia kontrolovať aj iss, aud a rozsahy oprávnení.