Tidak suka iklan? Pergi Bebas Iklan Hari ini 

JWT Encoder / Pembangun

PengembangKeamanan

IKLAN · HAPUS?

MEMASUKKAN

Proses Otomatis

KELUARAN

Sisi klien

IKLAN · HAPUS?

Memandu

JWT Encoder / Pembangun

Buat token JWT yang telah ditandatangani secara langsung di browser Anda. Masukkan kepala dan isi, pilih algoritma HMAC, berikan rahasia yang dibagikan, dan salin token siap digunakan untuk pengujian API, pemrograman, atau pengembangan lokal. Semua proses penandatanganan dilakukan melalui API Web SubtleCrypto, sehingga rahasia dan klaim tidak pernah meninggalkan halaman.

Cara Penggunaan

Sunting Kepala (JSON) blok untuk mencakup typ dan field kustom seperti kid. Nilai alg dikonversi oleh pemilih algoritma di bawah ini.
Sunting Isi (JSON) blok dengan klaim standar seperti iss, sub, iat, exp, ditambah klaim kustom yang dibutuhkan oleh layanan Anda.
Pilih algoritma: HS256, HS384, atau HS512.
Tempelkan rahasia bersama. Gunakan string acak yang minimal sama panjangnya dengan output hash untuk sesuai dengan tingkat keamanan setiap algoritma.
Salin token hasilnya dari kotak keluaran, atau salin bagian kepala, isi, atau tanda tangan secara terpisah.

Fitur

Tiga algoritma HMAC – HS256, HS384, dan HS512 mencakup semua kasus umum penggunaan JWT yang ditandatangani dengan HMAC.
Penandatanganan real-time – Token yang telah ditandatangani diperbarui saat Anda mengubah field apa pun, sehingga Anda melihat efek setiap perubahan secara langsung.
Validasi JSON secara langsung – Kesalahan format kepala atau isi JSON ditampilkan sebagai pesan kesalahan jelas sebelum menjadi bagian dari token yang rusak.
Salinan bagian per bagian – Salin token lengkap atau ambil kepala, isi, atau tanda tangan yang dienkripsi dengan base64url secara terpisah.
Hanya sisi klien – Penandatanganan berlangsung di browser Anda menggunakan API SubtleCrypto. Rahasia dan klaim tidak pernah dikirim ke server.
Dipasangkan dengan JWT Decode – Token berputar antara encoder dan alat JWT Decode yang ada untuk memverifikasi klaim.

Kapan Menggunakan Alat Ini

Menguji endpoint API yang mengharuskan token bearer dengan klaim tertentu.
Mengulang skenario autentikasi yang gagal dengan token yang dikenal benar.
Mengajar atau mempelajari cara konstruksi tanda tangan JWT.
Menghasilkan token sementara untuk pengembangan lokal tanpa membangun server autentikasi.

 Tanya Jawab Umum

Apa itu JWT dan mengapa ditandatangani?

Sebuah JSON Web Token (JWT) adalah string URL yang kompak dan aman, terdiri dari kepala, isi, dan tanda tangan. Tanda tangan memungkinkan penerima untuk memverifikasi bahwa kepala dan isi dibuat dengan pengetahuan tentang rahasia bersama dan tidak dimodifikasi selama perjalanan. Tanpa tanda tangan yang valid, siapa pun dapat membuat klaim palsu, yang sebabnya setiap token yang dimaksudkan untuk autentikasi atau otorisasi harus ditandatangani.
Bagaimana cara penandatanganan HMAC dengan HS256, HS384, dan HS512 bekerja?

HMAC (Hash-based Message Authentication Code) menggabungkan kunci rahasia dengan fungsi hash kriptografi. HS256 menggunakan SHA-256 untuk menghasilkan MAC sepanjang 256 bit, HS384 menggunakan SHA-384, dan HS512 menggunakan SHA-512. Penandatangan menghitung HMAC atas kepala dan isi yang dienkripsi dengan base64url yang digabungkan dengan tanda titik, lalu menambahkan MAC yang dienkripsi dengan base64url. Siapa pun yang memiliki kunci yang sama dapat menghitung MAC tersebut dan membandingkannya untuk memverifikasi keasliannya.
Mengapa JWT menggunakan base64url daripada base64 standar?

Base64 standar menggunakan karakter +, /, dan = yang harus dienkripsi dengan persen saat digunakan dalam URL dan dapat menyebabkan masalah ketika token dikirim sebagai parameter URL atau dalam header HTTP. Base64url mengganti + dengan -, / dengan _, dan menghilangkan padding = di akhir. Ini menghasilkan string yang aman untuk ditempatkan langsung dalam URL, header HTTP, dan cookie tanpa perlakuan tambahan.
Apa yang membuat kunci menjadi cukup kuat untuk JWT yang ditandatangani dengan HMAC?

Untuk HS256 kunci harus minimal 32 byte acak (256 bit); untuk HS384 minimal 48 byte; untuk HS512 minimal 64 byte. Kata sandi pendek yang dipilih oleh manusia rentan terhadap serangan brute-force karena penyerang yang menangkap satu token dapat menebak kunci secara offline. Buat kunci dari sumber acak kriptografi, simpan di luar pohon sumber, dan rotasi kunci saat ada kemungkinan eksposur.