Gerador e verificador de JWT

Como usar

1. Escreva o Cabeçalho (JSON) e a Carga útil (JSON). Use Definir iat como agora, Definir nbf como agora ou Definir exp em para preencher os tempos.
2. Escolha o Algoritmo e digite o Segredo. Escolha Base64 em Codificação do segredo se o segredo estiver escrito em Base64.
3. Copie o Token. Ele tem três partes separadas por pontos: o cabeçalho, a carga útil e a assinatura.
4. Cole um token em Token a conferir para ver se a assinatura corresponde ao segredo acima.

Como um JWT é assinado

Um JSON Web Token (RFC 7519) é um cabeçalho e uma carga útil, cada um escrito como JSON e codificado em base64url (RFC 7515), unidos por um ponto. A assinatura é um HMAC dessas duas partes, feito com o segredo (RFC 7518, seção 3.2). O cabeçalho informa o algoritmo no campo alg, e esta página define esse campo com o algoritmo que você escolher.

A página escreve cada objeto JSON na forma compacta antes de codificá-lo, então os bytes assinados são a forma compacta do que você digitou, e não o texto com seus espaços e quebras de linha. Qualquer parte que confere o token trabalha com os bytes que recebe, então o token é válido de qualquer modo.

entrada da assinatura = BASE64URL(cabeçalho) . BASE64URL(carga útil)
assinatura            = HMAC-SHA-256(segredo, entrada da assinatura)
                        (HS384 e HS512 usam HMAC-SHA-384 e HMAC-SHA-512)
token                 = entrada da assinatura . BASE64URL(assinatura)

Os tempos na carga útil

As declarações iat (emitido em), nbf (não antes de) e exp (tempo de expiração) são NumericDate: segundos desde 1º de janeiro de 1970, às 00:00 UTC (RFC 7519, seções 2 e 4.1). Um token não é aceito a partir de exp, inclusive, nem antes de nbf. Os botões escrevem a hora do relógio do seu dispositivo, então um relógio errado gera um tempo errado.

O que a verificação faz e o que não faz

A verificação recalcula o HMAC do cabeçalho e da carga útil exatamente como foram colados, e o compara com a assinatura. Ela recusa alg none e todos os algoritmos exceto HS256, HS384 e HS512, para que um token não possa escolher uma verificação mais fraca.

Ela não verifica o significado das declarações: que iss é o emissor que você espera, ou que aud nomeia o seu serviço. Sua aplicação deve verificar isso, como a RFC 8725 recomenda.

Perguntas frequentes