Generador JWT

Un generador JWT crea un token web JSON a partir de un encabezado, una carga útil de reclamos y un secreto, luego lo firma para que un servidor pueda confiar en el contenido. Un JWT tiene tres segmentos base64url unidos por puntos: el encabezado nombra el algoritmo de firma, la carga útil transporta los reclamos y la firma es un HMAC en las dos primeras partes. Esta herramienta reúne los tres valores que usted proporciona y devuelve un token que puede colocar en un encabezado de autorización, un dispositivo de prueba o un comando de curl.

La razón para generar un token a mano es realizar pruebas y depurar. Cuando está creando una API que valida JWT, necesita tokens de muestra con reclamos específicos: uno caducado para confirmar su ruta 401, un token para una identificación de usuario particular, uno con una función o alcance personalizado, o uno firmado con un secreto conocido para que pueda verificar que su middleware lo acepte. Escribirlos a mano significa codificar dos objetos JSON con base64url y calcular un HMAC, que es exactamente el tipo de trabajo complicado y propenso a errores que debe realizar una herramienta. Aquí pegas las afirmaciones como JSON, eliges HS256, HS384 o HS512, ingresas el secreto y aparece el token firmado.

La herramienta también completa los reclamos de tiempo registrados para usted. Encienda el emitido y sellará el tiempo actual de Unix; establece un vencimiento en segundos y calcula exp; establezca un desplazamiento no previo y calcule nbf. Esas tres afirmaciones son a lo que se reducen la mayoría de los errores de autenticación, por lo que generarlas correctamente, en segundos desde la época en lugar de milisegundos, elimina una fuente común de errores.

Todo sucede en tu navegador. La carga útil, el secreto y la firma se ejecutan localmente en JavaScript a través de la API Web Crypto incorporada, por lo que su secreto nunca se transmite, registra ni almacena. Eso es importante porque un secreto de firma es el único valor que permite a cualquiera crear tokens válidos para su sistema. Debido a que el trabajo es local, la herramienta también sigue funcionando sin conexión una vez que se ha cargado la página. Sólo los algoritmos HMAC se ofrecen a propósito: RS256 y ES256 firman con una clave privada, y pegar una clave privada en una página web es un hábito que vale la pena evitar.