Generador JWT

Un generador JWT crea un token web JSON a partir de un encabezado, una carga útil de reclamos y un secreto, luego lo firma para que un servidor pueda confiar en el contenido. Un JWT tiene tres segmentos base64url unidos por puntos: el encabezado nombra el algoritmo de firma, la carga útil transporta los reclamos y la firma es un HMAC en las dos primeras partes. Esta herramienta reúne los tres valores que usted proporciona y devuelve un token que puede colocar en un encabezado de autorización, un dispositivo de prueba o un comando de curl.

La razón para generar un token a mano es realizar pruebas y depurar. Cuando está creando una API que valida JWT, necesita tokens de muestra con reclamos específicos: uno caducado para confirmar su ruta 401, un token para una identificación de usuario particular, uno con una función o alcance personalizado, o uno firmado con un secreto conocido para que pueda verificar que su middleware lo acepte. Escribirlos a mano significa codificar dos objetos JSON con base64url y calcular un HMAC, que es exactamente el tipo de trabajo complicado y propenso a errores que debe realizar una herramienta. Aquí pegas las afirmaciones como JSON, eliges HS256, HS384 o HS512, ingresas el secreto y aparece el token firmado.

Puede comparar este generador JWT en línea con cualquier verificador. Pegue {"sub":"123","role":"admin","iat":1700000000}, mantenga HS256 con la codificación secreta predeterminada de cadena a secreta al menos 256 bits de largo y UTF-8 (texto sin formato), desmarque Agregar vencimiento (exp) y haga clic en Generar token. La carga útil ya lleva un iat, por lo que la herramienta lo deja en paz y el token es idéntico cada vez, terminando en .FumKGaSAuIzRc5ZnHmLGYsG5RHGObIpl2awmuMAtJYk. Utilizado como generador JWT con una clave secreta que ya tiene, esa es la forma más rápida de demostrar que ambas partes están de acuerdo en los bytes de clave.

La herramienta también completa dos reclamos de tiempo registrados para usted. Agregue sellos emitidos en (iat) iat con la hora actual de Unix, a menos que su carga útil ya tenga uno, y agregue el valor de vencimiento (exp) establece exp a la hora actual más el valor de vencimiento en (segundos), reemplazando cualquier exp en la carga útil. No hay control no anterior, así que escriba una marca de tiempo nbf en la carga útil si la necesita. Las afirmaciones de tiempo son a lo que se reducen la mayoría de los errores de autenticación, por lo que generarlas en segundos desde la época en lugar de milisegundos elimina una fuente común de errores.

Todo sucede en tu navegador. La carga útil, el secreto y la firma se ejecutan localmente en JavaScript a través de la API Web Crypto incorporada, por lo que su secreto nunca se transmite, registra ni almacena. Eso es importante porque un secreto de firma es el único valor que permite a cualquiera crear tokens válidos para su sistema. Debido a que el trabajo es local, la herramienta también sigue funcionando sin conexión una vez que se ha cargado la página. Sólo los algoritmos HMAC se ofrecen a propósito: RS256 y ES256 firman con una clave privada, y pegar una clave privada en una página web es un hábito que vale la pena evitar.