Подписание JSON Web Token (JWT)

Подписывайте JWT локально с секретами HMAC или закрытыми ключами PEM/JWK для тестирования API и отладки аутентификации.

Полезная нагрузка и заголовок
Редактируйте утверждения JSON и необязательные защищенные поля заголовка, которые будут подписаны в составе токена.
Помощники зарегистрированных утверждений

Используйте эти элементы управления, чтобы обновлять распространенные утверждения NumericDate в JSON полезной нагрузки.

Показывает актуальное значение для подписи и записывает его в payload.iat только при подписании.

Значение в полезной нагрузке: 1713139200Значение для подписи: 1713139200

Ручной ввод задает фиксированный exp. Быстрые смещения следуют за iat подписи и фиксируются при подписании.

Значение в полезной нагрузке: Не заданоЗначение для подписи: Не задано

Выбранный алгоритм всегда записывается в заголовок. Используйте это поле для значений вроде переопределений kid или typ.

Ключ подписи
Выберите алгоритм, укажите соответствующий секрет или закрытый ключ, затем создайте компактный JWT.

Алгоритмы HMAC используют общий секрет.

Используется для HS256, HS384 и HS512. Секрет не сохраняется в локальном хранилище.

Подписанный токен
Скопируйте компактный JWT или проверьте точные сегменты заголовка, полезной нагрузки и подписи.
Токен еще не подписан
Добавьте допустимую полезную нагрузку JSON и ключ подписи, затем подпишите, чтобы создать компактный JWT.
Скачать

Что такое инструмент подписи JWT?

Инструмент подписи JWT создает компактный JSON Web Token, сериализуя заголовок и полезную нагрузку, а затем подписывая их секретом или закрытым ключом. Результатом становится токен из трех частей header.payload.signature, который используется многими системами API, OAuth и сессий.

Когда использовать этот инструмент

  • Создавайте локальные тестовые токены для разработки API, стейджинговых сред и демо.
  • Сравнивайте, как разные алгоритмы меняют заголовок и подпись токена.
  • Добавляйте утверждения, такие как sub, iss, aud, exp, iat, scope, или пользовательские поля приложения, не создавая временный скрипт.
  • Генерируйте токены с общими секретами HMAC или закрытыми ключами RSA/ECDSA в формате PKCS#8 PEM или JWK.

Что проверить перед использованием подписанного токена

  • Сопоставьте алгоритм с типом ключа: HS* использует общий секрет, RS* и PS* используют закрытые ключи RSA, а ES* использует закрытые ключи EC.
  • Добавляйте утверждения срока действия и аудитории, когда принимающий сервис их ожидает.
  • Не используйте рабочие закрытые ключи в общих браузерах и на общих машинах. Этот инструмент работает локально, но не может защитить ключи на уже скомпрометированном устройстве.
  • Помните, что подпись не является шифрованием. Любой, кто получит токен, может декодировать заголовок и полезную нагрузку.