Генератор JWT

JSON Web Token (JWT) — это компактный, безопасный для URL формат токена, определённый в RFC 7519. Он широко используется для аутентификации и безопасного обмена информацией в веб-приложениях и API. Вам может понадобиться сгенерировать JWT для тестирования защищённых эндпоинтов API, создания образцов токенов для документации или отладки потока аутентификации без запуска бэкенда.

Инструмент работает полностью в вашем браузере через WebCrypto API. Данные никогда не отправляются на сервер. Тем не менее рекомендуем использовать тестовый секретный ключ, а не реальный производственный, поскольку хорошей практикой является никогда не вводить конфиденциальные учётные данные на сторонних сайтах.

Инструмент поддерживает HS256 (HMAC-SHA256), HS384 (HMAC-SHA384) и HS512 (HMAC-SHA512) — наиболее широко используемые симметричные алгоритмы подписи для JWT. Также поддерживается "none" (неподписанный токен) для целей тестирования. Асимметричные алгоритмы, такие как RS256 или ES256, требуют закрытого ключа и не поддерживаются.

Все три являются алгоритмами подписи на основе HMAC, которые различаются только используемой хэш-функцией SHA: HS256 использует SHA-256 (подпись 256 бит), HS384 — SHA-384, HS512 — SHA-512. HS256 является наиболее распространённым выбором. Используйте HS384 или HS512, если вам нужна более надёжная подпись.

Payload — это JSON-объект, содержащий "claims" — пары ключ-значение о субъекте (пользователе) или сессии. Стандартные зарегистрированные claims включают: sub (ID пользователя), iss (издатель), aud (аудитория), exp (время истечения), iat (выдан в) и nbf (не раньше). Вы также можете добавить любые пользовательские claims.

"none" создаёт JWT без подписи — раздел подписи пустой. Это НИКОГДА не следует использовать в производственной среде, так как не обеспечивает защиту целостности. Может быть полезен для тестирования парсеров или создания токенов для систем, не проверяющих подписи.

Помощник стандартных claims позволяет быстро добавить общие зарегистрированные claims JWT в payload. Заполните поля Subject (sub), Issuer (iss) и/или Audience (aud) и выберите окно истечения. Инструмент автоматически устанавливает iat на текущую временную метку Unix и вычисляет exp.

JWT состоит из трёх частей, разделённых точками: Header (алгоритм и тип токена), Payload (claims) и Signature. Разбивка отображает каждую часть, закодированную в base64url, с цветовой кодировкой, чтобы вы могли визуально определить структуру.

Подписи на основе HMAC являются детерминированными — если заголовок, payload и секрет идентичны, вывод всегда будет одинаковым. Если вы видите другой токен, проверьте, не обновляется ли claim iat до текущей временной метки автоматически.

Этот инструмент предназначен для генерации и подписи токенов. Для декодирования и проверки существующего JWT используйте инструмент JWT Decoder. Криптографическая проверка подписи в этом генераторе не реализована.

Инструмент отобразит красное сообщение об ошибке под textarea и не будет генерировать токен, пока JSON не станет валидным. Убедитесь, что все ключи и строковые значения заключены в двойные кавычки, а общая структура является валидным JSON-объектом.

Для HS256 ключ должен иметь длину не менее 32 байт (256 бит). Для HS384 — не менее 48 байт, для HS512 — не менее 64 байт. Использование более короткого ключа технически допустимо, но снижает безопасность.