Générateur JWT
Créez des JSON Web Tokens signés en HS256/384/512, RS, PS, ES ou EdDSA. Modifiez le payload, définissez exp et iat, générez clés ou secrets, dans votre navigateur.
Utilisez au moins autant d’octets aléatoires que la taille du hachage (32 octets pour HS256). Les mots de passe courts peuvent être cassés par force brute hors ligne.
Qu'est-ce que Générateur JWT ?
Le générateur JWT signe n'importe quel payload JSON en un JSON Web Token compact. Il prend en charge HMAC (HS256/384/512), RSA (RS256/384/512), RSA-PSS (PS256/384/512), ECDSA (ES256/384/512) et EdDSA (Ed25519), peut ajouter les claims iat et exp en un clic, et peut générer un secret aléatoire ou une paire de clés dont la clé publique sert à la vérification.
Comment utiliser Générateur JWT
- Choisissez l'algorithme.
- Modifiez le JSON du payload ; utilisez les boutons pour définir iat à maintenant ou exp à une heure ou un jour plus tard.
- Saisissez un secret (HS*) ou une clé privée PKCS#8 PEM / JWK, ou cliquez sur Générer un secret aléatoire / Générer une paire de clés.
- Définissez éventuellement un identifiant de clé (kid), puis cliquez sur Signer le jeton et copiez le jeton (et la clé publique pour les algorithmes asymétriques).
Exemple
HS256, payload {"sub":"1"}, secret your-256-bit-secret eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxIn0.rTCH8cLoGxAm_xw68z-zXVKi9ie6xJn9tnVWjd_9ftE
Quand utiliser Générateur JWT
Utilisez-le pour créer des jetons de test pendant le développement d'API, reproduire des bugs ou comprendre la signature des JWT. En production, émettez les jetons depuis votre serveur d'authentification afin que les clés restent dans un coffre à secrets ; ne collez jamais de clés privées de production dans un site web.
Comment fonctionne Générateur JWT
La signature utilise la bibliothèque jose au-dessus de l'API Web Crypto du navigateur. L'en-tête est {"alg": …, "typ": "JWT"} plus un kid facultatif ; l'en-tête et le payload sont sérialisés en JSON, encodés en Base64URL puis signés. Les secrets HMAC sont utilisés comme octets UTF-8, ou décodés depuis Base64/Base64URL si la case est cochée. Les secrets HMAC générés font 32/48/64 octets aléatoires, selon la taille du hachage ; les paires de clés sont créées avec Web Crypto et exportées en PEM PKCS#8 et SPKI.
Cas d'utilisation courants
- Créer un jeton expiré pour tester la gestion du 401 de votre API.
- Générer une paire de clés RS256 et un jeton pour tester un validateur basé sur JWKS.
- Signer un jeton avec des claims personnalisés pour le développement local.
- Démontrer la différence entre les signatures HS256 et ES256.
Note de Sécurité
Utilisez des clés jetables pour les tests. Un secret HMAC court ou prévisible peut être retrouvé par force brute hors ligne à partir de n'importe quel jeton signé avec lui.
Questions Fréquentes
Quel algorithme choisir ?
HS256 quand le même service émet et vérifie les jetons et peut garder un secret partagé. RS256, ES256 ou EdDSA quand d'autres parties doivent vérifier les jetons avec une clé publique.
Pourquoi ma clé RSA est-elle rejetée ?
Les clés commençant par BEGIN RSA PRIVATE KEY sont en PKCS#1. Convertissez-les en PKCS#8 (BEGIN PRIVATE KEY) avec openssl pkcs8 -topk8 -nocrypt -in key.pem.
Les clés générées sont-elles stockées ?
Non. Elles n'existent que dans la page, jusqu'à ce que vous la quittiez.