Проверка подписи JWT
Проверьте подпись токена JSON Web Token секретом HMAC, открытым ключом PEM, сертификатом X.509, JWK или JWKS и локально проверьте exp, nbf, издателя и аудиторию.
HS256Используйте не меньше случайных байтов, чем длина хеша (32 байта для HS256). Короткие пароли подбираются перебором офлайн.
Что такое Проверка подписи JWT?
Инструмент проверяет, что токен JSON Web Token подписан предоставленным вами ключом и не был изменён, а его временные утверждения действительны сейчас. Он принимает общий секрет для HS256/384/512 или открытый ключ PEM, сертификат X.509, JWK либо JWKS для токенов RS, PS, ES и EdDSA, с необязательной проверкой издателя и аудитории и допуском по часам.
Как пользоваться Проверка подписи JWT
- Вставьте токен; алгоритм из его заголовка будет показан.
- Введите секрет (HS*) или открытый ключ, сертификат, JWK либо JWKS.
- При желании задайте допуск по часам, ожидаемого издателя и ожидаемую аудиторию или отметьте «Проверять только подпись».
- Нажмите «Проверить» и прочитайте результат; при успехе показываются полезная нагрузка и временные утверждения.
Пример
The jwt.io sample token (HS256) with secret your-256-bit-secret
✓ Signature verified with HS256 and the time claims are valid.
При неверном секрете wrong-secret результат: Signature verification failed.
Когда использовать Проверка подписи JWT
Используйте, чтобы подтвердить, что токен выдан ожидаемым сервером, отладить ошибки «invalid signature» или проверить ротацию ключей. Без правильного ключа никакой инструмент не сможет проверить JWT. Не вставляйте боевые секреты на сайты; предпочитайте открытый ключ, которым можно делиться безопасно.
Как работает Проверка подписи JWT
Проверка выполняется локально с библиотекой jose и Web Crypto. Разрешён только алгоритм, названный в заголовке токена, а alg «none» отклоняется всегда. Токены HMAC проверяются байтами секрета в UTF-8 (или декодированными из Base64); асимметричные токены импортированным SPKI, X.509, JWK или локальным JWKS (по kid). После подписи exp и nbf сравниваются с часами вашего устройства (плюс допуск), а iss/aud сравниваются, если вы их ввели. О каждом сбое сообщается с конкретной причиной.
Распространенные Случаи Использования
- Проверить, подписан ли токен текущим или старым ключом после ротации.
- Отладить, почему шлюз отклоняет токены (истёк, не та аудитория или плохая подпись).
- Проверить ID-токен OpenID Connect по JWKS провайдера.
- Убедиться, что токен не подделан.
Примечание по Безопасности
Проверка выполняется в вашем браузере; ключи и токены не загружаются. Открытыми ключами можно делиться, секретами нельзя.
Часто Задаваемые Вопросы
Можно ли проверить токен без ключа?
Нет. Подпись можно проверить только секретом (HMAC) или открытым ключом издателя. Декодирование без ключа ничего не доказывает.
Где взять открытый ключ?
Провайдеры OpenID Connect публикуют JWKS по адресу jwks_uri, указанному в /.well-known/openid-configuration. Вставьте этот JSON сюда.
Почему действительная подпись всё равно не проходит?
Токен может быть просрочен, ещё не действителен (nbf) или иметь другого издателя или аудиторию, чем вы ввели. Сообщение укажет, какая проверка не прошла.