Генератор і перевірка JWT

Як створити підписаний JWT

1. Виберіть Алгоритм: HS256/384/512 (спільний секрет), RS256/384/512 чи PS256/384/512 (RSA), ES256/384/512 (ECDSA на кривих P-256, P-384 або P-521) або EdDSA (Ed25519, якщо ваш браузер його підтримує).
2. Відредагуйте Заголовок (JSON) і Корисне навантаження (claims у JSON). Поле alg завжди відповідає вибраному алгоритму, а typ за замовчуванням має значення JWT.
3. Додайте дати кнопками часових claims: iat = зараз, nbf = зараз, або виберіть затримку, наприклад «через 1 годину», і натисніть Задати exp. Значення – це NumericDate, тобто секунди від 1 січня 1970 року за UTC.
4. Введіть Секрет (для алгоритмів HS, як текст або Base64/Base64url у полі Формат секрету) чи Закритий ключ (PEM або JWK). Ще немає ключа? Натисніть Згенерувати тестовий ключ.
5. Натисніть Підписати токен, потім Копіювати результат або натисніть Перевірити цей токен, щоб одразу його перевірити.

Як перевірити JWT

1. Вставте токен у полі Токен для перевірки.
2. Виберіть Очікуваний алгоритм. Варіант «З заголовка токена (ніколи none)» приймає все, що вказано в заголовку, крім none; якщо вибрати конкретний алгоритм, інструмент відхилятиме будь-який токен, підписаний інакше, як і має робити справжній сервер.
3. Введіть секрет або Відкритий ключ (PEM або JWK): блок PEM PUBLIC KEY, RSA PUBLIC KEY чи CERTIFICATE, JWK або набір JWK (використовується ключ, чий kid збігається із заголовком).
4. За потреби задайте Допуск годинника (секунди), щоб урахувати невеликі розбіжності в часі, і натисніть Перевірити токен.

Результат показує, чи підпис дійсний, а потім звіряє exp (завершення терміну дії) і nbf (не дійсний до) з поточним часом вашого комп’ютера. Токен із правильним підписом, але з терміном дії в минулому, буде позначено як прострочений, а не як дійсний.

Ключі та формати

Для підпису інструмент приймає блоки PKCS#8 PRIVATE KEY, PKCS#1 RSA PRIVATE KEY і SEC1 EC PRIVATE KEY (які внутрішньо перетворюються на PKCS#8), а також закриті JWK. Ключі, захищені паролем, спершу потрібно експортувати без пароля. Згенерувати тестовий ключ створює випадковий секрет розміром із хеш для алгоритмів HS, пару ключів RSA на 2048 біт для RS і PS, відповідну криву для ES або пару Ed25519. Ключі видаються у форматах PEM і JWK та підставляються з обох боків, тож круговий цикл працює одразу.

Підписи відповідають RFC 7515 і RFC 7518: RSA-PSS використовує сіль завдовжки з хеш, а підписи ECDSA – це «сира» конкатенація r||s. Реалізація відтворює приклад HS256 з додатка A.1 до RFC 7515.

Нотатки щодо безпеки

• Усе працює у вашому браузері через Web Crypto API. Ні токени, ні ключі нікуди не надсилаються, але все одно краще використовувати тестові ключі, а не робочі секрети.
• alg: none ніколи не підписується й ніколи не приймається.
• Секрети HMAC мають бути щонайменше такими ж довгими, як хеш (32 байти для HS256). Коротший секрет викликає попередження.
• Підпис підтверджує цілісність і походження, але не те, що claims доречні: сервери мають перевіряти також iss, aud і scopes.