Generator JWT

Twórz JWT podpisane HMAC-SHA256/384/512

{{ error }}

Czym jest JWT?

JSON Web Token (JWT, RFC 7519) to kompaktowy, podpisany kontener danych JSON. Składa się z trzech części zakodowanych w Base64URL, oddzielonych kropkami: nagłówek (algorytm), payload (claims) i podpis. Używany do bezstanowego uwierzytelniania API (bearer tokens), OAuth/OpenID Connect i SSO.

Który algorytm?

HS256/384/512 to symetryczne algorytmy HMAC — nadawca i odbiorca dzielą ten sam klucz. Prosty i szybki, dobry do wewnętrznych API. Dla publicznych preferowany jest RS256 lub ES256 (klucz publiczny/prywatny) — wspierane przez Web Crypto API, ale zarządzanie kluczami jest bardziej złożone. 'none' (bez podpisu) nigdy na produkcji.

Ważne uwagi bezpieczeństwa

  • Nigdy nie umieszczaj tajnych danych w payloadzie — JWT są podpisane, nie zaszyfrowane
  • Klucz powinien być co najmniej tak długi jak wyjście hasha (256/384/512 bitów)
  • Zawsze ustawiaj claims exp/nbf i sprawdzaj je przy odbiorze