Gerador de JWT
Crie JSON Web Tokens assinados com HS256/384/512, RS, PS, ES ou EdDSA. Edite o payload, defina exp e iat, gere chaves ou segredos – tudo no navegador.
Use pelo menos tantos bytes aleatórios quanto o tamanho do hash (32 bytes para HS256). Senhas curtas podem ser quebradas por força bruta offline.
O que é Gerador de JWT?
O gerador de JWT assina qualquer payload JSON em um JSON Web Token compacto. Ele suporta HMAC (HS256/384/512), RSA (RS256/384/512), RSA-PSS (PS256/384/512), ECDSA (ES256/384/512) e EdDSA (Ed25519), pode acrescentar as claims iat e exp com um clique e pode gerar um segredo aleatório ou um par de chaves cuja chave pública você pode usar na verificação.
Como usar Gerador de JWT
- Escolha o algoritmo.
- Edite o JSON do payload; use os botões para definir iat como agora ou exp para uma hora ou um dia à frente.
- Digite um segredo (HS*) ou uma chave privada PKCS#8 PEM / JWK – ou clique em Gerar segredo aleatório / Gerar par de chaves.
- Opcionalmente, defina um ID de chave (kid), clique em Assinar token e copie o token (e a chave pública, nos algoritmos assimétricos).
Exemplo
HS256, payload {"sub":"1"}, secret your-256-bit-secret eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxIn0.rTCH8cLoGxAm_xw68z-zXVKi9ie6xJn9tnVWjd_9ftE
Quando usar Gerador de JWT
Use para criar tokens de teste no desenvolvimento de APIs, reproduzir bugs ou aprender como funciona a assinatura de JWT. Em produção, emita os tokens no seu servidor de autenticação, para que as chaves fiquem em um cofre de segredos; nunca cole chaves privadas de produção em um site.
Como funciona Gerador de JWT
A assinatura usa a biblioteca jose sobre a Web Crypto API do navegador. O cabeçalho é {"alg": …, "typ": "JWT"} mais um kid opcional; cabeçalho e payload são serializados em JSON, codificados em Base64URL e assinados. Os segredos HMAC são usados como bytes UTF-8, ou decodificados de Base64/Base64URL quando essa opção está marcada. Os segredos HMAC gerados têm 32/48/64 bytes aleatórios, de acordo com o tamanho do hash; os pares de chaves são criados com a Web Crypto e exportados como PEM PKCS#8 e SPKI.
Casos de Uso Comuns
- Criar um token expirado para testar o tratamento de 401 da sua API.
- Gerar um par de chaves RS256 e um token para testar um validador baseado em JWKS.
- Assinar um token com claims personalizadas para desenvolvimento local.
- Demonstrar a diferença entre as assinaturas HS256 e ES256.
Nota de Segurança
Use chaves descartáveis para testes. Um segredo HMAC curto ou fácil de adivinhar pode ser quebrado por força bruta offline a partir de qualquer token assinado com ele.
Perguntas Frequentes
Qual algoritmo devo usar?
HS256 quando o mesmo serviço emite e verifica os tokens e consegue guardar um segredo compartilhado. RS256, ES256 ou EdDSA quando outras partes precisam verificar os tokens com uma chave pública.
Por que minha chave RSA é rejeitada?
Chaves que começam com BEGIN RSA PRIVATE KEY são PKCS#1. Converta-as para PKCS#8 (BEGIN PRIVATE KEY) com openssl pkcs8 -topk8 -nocrypt -in key.pem.
As chaves geradas são armazenadas?
Não. Elas só existem na página até você sair dela.