Gerador JWT
Gere JSON Web Tokens assinados com cabeçalho, carga e chave personalizados. Suporta HS256, RS256, ES256.
O que é um JWT?
JWT (JSON Web Token) é um padrão aberto (RFC 7519) para transmitir informações com segurança como um objeto JSON compacto. Consiste em três partes separadas por pontos: Header.Payload.Signature.
Quais são os usos comuns do JWT?
JWT é amplamente usado para autenticação (login único), autorização de API e troca segura de informações. Após o login, o servidor emite um JWT que o cliente inclui nas requisições seguintes.
Como escolher entre HS256, RS256 e ES256?
HS256 usa um segredo compartilhado e é o mais rápido, ideal para serviços únicos. RS256 usa pares de chaves RSA, melhor para arquiteturas multi-serviço. ES256 usa curvas elípticas com alta segurança e assinaturas menores.
O que são claims do JWT?
Claims são declarações no payload. Os registrados incluem iss (emissor), sub (assunto), exp (expiração), aud (audiência). Claims públicos podem ser registrados na IANA. Claims privados são campos personalizados.
Como verifico um JWT?
Decodifique o header para obter o algoritmo, depois use a chave adequada (segredo compartilhado para HMAC, chave pública para RSA/ECDSA) para verificar a assinatura. Verifique também exp, iss e aud.
É seguro gerar JWTs no navegador?
Sim, esta ferramenta usa a Web Crypto API. Suas chaves e tokens nunca saem do navegador. Nenhum dado é enviado a servidores.
Qual a diferença entre codificar e assinar?
Codificar (Base64) apenas converte dados para formato transmissível e é reversível por qualquer um. Assinar cria um hash criptográfico que prova que o token não foi alterado.
JWT pode ser criptografado?
Sim, JWE (JSON Web Encryption) criptografa o conteúdo do payload. O JWT padrão (JWS) garante apenas integridade, mas o payload é legível por qualquer pessoa com o token.
Quais são as melhores práticas de segurança para JWT?
Sempre defina tempos de expiração curtos. Use segredos fortes e aleatórios para HMAC. Armazene chaves privadas com segurança. Nunca coloque dados sensíveis no payload. Use HTTPS em produção.
Como JWT se compara à autenticação por sessão?
JWT é sem estado — o servidor não armazena dados de sessão, ideal para microsserviços e domínios cruzados. Sessões requerem armazenamento no servidor mas permitem revogação instantânea.
JWT é adequado para logout?
JWT é sem estado por natureza, então logout requer mecanismos extras como listas de bloqueio ou tokens de curta duração com refresh tokens. Use tokens de acesso de vida curta (ex: 15 minutos).
Como funciona o padrão de refresh token com JWT?
Use um token de acesso de curta duração (JWT) para chamadas API e um refresh token de maior duração para obter novos tokens. Quando o token expira, o cliente envia o refresh token para obter um novo JWT.
O que é o algoritmo "none"?
O algoritmo "none" significa que o JWT não está assinado. Use apenas para testes. Muitas bibliotecas o desativam por padrão por segurança.
Existem limitações de tamanho no JWT?
JWT não tem limite fixo, mas como é enviado em cabeçalhos HTTP, deve ficar abaixo de 4KB. Mantenha o payload mínimo, inclua apenas claims necessários.
Como usar Gerador JWT
Crie JSON Web Tokens assinados com header, payload e segredo ou chave personalizados. Escolha HS256/384/512, RS256/384/512 ou ES256/384/512 — tudo gerado localmente no seu navegador.
- Selecione um algoritmo no menu suspenso: HS256, HS384 ou HS512 para segredos compartilhados, RS256/384/512 ou ES256/384/512 para pares de chaves, ou 'none' para um token não assinado.
- Edite o JSON do header e do payload, por exemplo adicionando claims como sub, iss e exp.
- Insira seu segredo (para algoritmos HS*) ou cole sua chave privada (para algoritmos RS* e ES*).
- Gere o token e copie o JWT resultante, separado por pontos, para suas requisições ou testes de API.
'none' produz um token não assinado que a maioria dos servidores rejeitará — use apenas para depuração.
Ferramentas relacionadas
- Decodificador JWT Decodificador JWT online gratuito. Decodifique JSON Web Tokens instantaneamente para ver cabeçalho, carga e assinatura. Sem cadastro.
- Verificador de Hash Calcule e verifique hashes MD5, SHA-1, SHA-256, SHA-512 localmente
- Calculadora Chmod Calculadora chmod online gratuita para visualizar e calcular permissões de arquivo Linux com caixas de seleção. Converta instantaneamente entre notação numérica (755, 644) e simbólica (rwxr-xr-x). Suporta permissões especiais como setuid, setgid, sticky bit.
- Tabela ASCII Referência completa de codificação de caracteres ASCII com códigos decimais, hexadecimais, octais, binários, entidades HTML e descrições. Pesquisa e filtro instantâneos.
- Visualizador Hexadecimal Visualize o conteúdo de arquivos em formato hexadecimal com busca, navegação por deslocamento e rolagem virtual
- Testador de Requisições HTTP Teste APIs REST diretamente no seu navegador. Envie requisições GET, POST, PUT, DELETE com headers, body e parâmetros personalizados. Veja status, headers e corpo JSON instantaneamente.
- Gerador .htaccess Gere regras .htaccess do Apache para redirecionamentos, reescritas, cabeçalhos de segurança, cache e mais.
- Gerador de Robots.txt Gerador gratuito de robots.txt online. Crie e personalize arquivos robots.txt para controlar a rastreamento de motores de busca, gerenciar acesso de rastreadores e otimizar o SEO do seu site.