Generator JWT
Buat JSON Web Token bertanda tangan dengan HS256/384/512, RS, PS, ES, atau EdDSA. Edit payload, atur exp dan iat, buat kunci atau secret – semuanya di browser Anda.
Gunakan byte acak minimal sebanyak ukuran hash (32 byte untuk HS256). Kata sandi pendek bisa dibobol secara brute force secara offline.
Apa itu Generator JWT?
Generator JWT ini menandatangani payload JSON apa pun menjadi JSON Web Token yang ringkas. Alat ini mendukung HMAC (HS256/384/512), RSA (RS256/384/512), RSA-PSS (PS256/384/512), ECDSA (ES256/384/512), dan EdDSA (Ed25519), dapat menambahkan klaim iat dan exp dengan satu klik, serta dapat membuat secret acak atau pasangan kunci yang kunci publiknya bisa Anda pakai untuk verifikasi.
Cara menggunakan Generator JWT
- Pilih algoritma.
- Edit JSON payload; gunakan tombol untuk mengatur iat ke sekarang atau exp ke satu jam atau satu hari ke depan.
- Masukkan secret (HS*) atau kunci privat PEM PKCS#8 / JWK – atau tekan Buat secret acak / Buat pasangan kunci.
- Jika perlu, isi ID kunci (kid), lalu tekan Tandatangani token dan salin tokennya (serta kunci publik untuk algoritma asimetris).
Contoh
HS256, payload {"sub":"1"}, secret your-256-bit-secret eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxIn0.rTCH8cLoGxAm_xw68z-zXVKi9ie6xJn9tnVWjd_9ftE
Kapan menggunakan Generator JWT
Gunakan untuk membuat token uji saat mengembangkan API, mereproduksi bug, atau mempelajari cara kerja penandatanganan JWT. Untuk produksi, terbitkan token dari server autentikasi Anda agar kunci tetap tersimpan di secret store; jangan pernah menempel kunci privat produksi ke situs web.
Cara kerja Generator JWT
Penandatanganan memakai library jose di atas Web Crypto API browser. Header-nya adalah {"alg": …, "typ": "JWT"} ditambah kid opsional; header dan payload diserialisasi sebagai JSON, di-encode Base64URL, lalu ditandatangani. Secret HMAC dipakai sebagai byte UTF-8, atau di-decode dari Base64/Base64URL jika kotak tersebut dicentang. Secret HMAC yang dibuat berukuran 32/48/64 byte acak sesuai ukuran hash; pasangan kunci dibuat dengan Web Crypto dan diekspor sebagai PEM PKCS#8 dan SPKI.
Kasus Penggunaan Umum
- Membuat token kedaluwarsa untuk menguji penanganan 401 di API Anda.
- Membuat pasangan kunci dan token RS256 untuk menguji validator berbasis JWKS.
- Menandatangani token dengan klaim kustom untuk pengembangan lokal.
- Mendemonstrasikan perbedaan tanda tangan HS256 dan ES256.
Catatan Keamanan
Gunakan kunci sekali pakai untuk pengujian. Secret HMAC yang pendek atau mudah ditebak bisa dibobol secara offline dari token mana pun yang ditandatangani dengannya.
Pertanyaan Umum
Algoritma mana yang sebaiknya saya pakai?
HS256 jika layanan yang sama menerbitkan sekaligus memverifikasi token dan bisa menyimpan secret bersama. RS256, ES256, atau EdDSA jika pihak lain harus memverifikasi token dengan kunci publik.
Mengapa kunci RSA saya ditolak?
Kunci yang diawali BEGIN RSA PRIVATE KEY berformat PKCS#1. Ubah dengan openssl pkcs8 -topk8 -nocrypt -in key.pem menjadi PKCS#8 (BEGIN PRIVATE KEY).
Apakah kunci yang dibuat disimpan?
Tidak. Kunci hanya ada di halaman sampai Anda meninggalkannya.