Générateur JWT

Un générateur JWT construit un JSON Web Token à partir d'un en-tête, d'une charge utile de réclamations et d'un secret, puis le signe pour qu'un serveur puisse faire confiance au contenu Un JWT a trois segments de base64url joints par des points : l'en-tête nomme l'algorithme de signature, la charge utile transporte les réclamations et la signature est un HMAC sur les deux premières parties Cet outil assemble les trois à partir des valeurs que vous fournissez et renvoie un jeton que vous pouvez déposer dans un en-tête Authorization, un luminaire de test ou une commande curl.

La raison de générer un jeton à la main est le test et le débogage Lorsque vous construisez une API qui valide les JWT, vous avez besoin d'échantillons de jetons avec des revendications spécifiques : un expiré pour confirmer votre chemin 401, un jeton pour un identifiant utilisateur particulier, un avec un rôle ou une portée personnalisée, ou un signé avec un secret connu afin que vous puissiez vérifier que votre middleware l'accepte Écrire ceux-ci à la main signifie base64url-encoder deux objets JSON et calculer un HMAC, qui est exactement le genre de travail truffé, sujet aux erreurs, un outil devrait faire. Ici, vous collez les revendications comme JSON, choisissez HS256, HS384, ou HS512, inscrivez le jeton secret et HS5, inscrivez le jeton signé.

L'outil remplit également les réclamations de temps enregistrées pour vous. Activez l'émission et il tamponne iat avec l'heure Unix actuelle ; définissez une expiration en secondes et il calcule exp ; définissez un décalage pas avant et il calcule nbf. Ces trois affirmations sont ce à quoi se résument la plupart des bugs d'authentification, donc les générer correctement, en quelques secondes depuis l'époque plutôt qu'en millisecondes, supprime une source commune d'erreurs.

Tout se passe dans votre navigateur La charge utile, le secret et la signature s'exécutent tous localement en JavaScript via l'API Web Crypto intégrée, de sorte que votre secret n'est jamais transmis, enregistré ou stocké C'est important car un secret de signature est la valeur unique qui permet à quiconque de frapper des jetons valides pour votre système Parce que le travail est local l'outil continue également de fonctionner hors ligne une fois la page chargée Seuls les algorithmes HMAC sont proposés exprès : RS256 et ES256 signent avec une clé privée, et coller une clé privée dans une page Web est une habitude qui mérite d'être évitée.