JWT-Kodierer & -Generator

Was ist ein JWT-Kodierer?

// Sign a JWT in the browser with the Web Crypto API (HS256)
async function encodeJwt(payload, secret) {
  const b64url = (bytes) =>
    btoa(String.fromCharCode(...new Uint8Array(bytes)))
      .replace(/\+/g, '-').replace(/\//g, '_').replace(/=+$/, '');
  const enc = (obj) =>
    b64url(new TextEncoder().encode(JSON.stringify(obj)));

  const header = { alg: 'HS256', typ: 'JWT' };
  const signingInput = `${enc(header)}.${enc(payload)}`;

  const key = await crypto.subtle.importKey(
    'raw', new TextEncoder().encode(secret),
    { name: 'HMAC', hash: 'SHA-256' }, false, ['sign']);
  const sig = await crypto.subtle.sign(
    'HMAC', key, new TextEncoder().encode(signingInput));

  return `${signingInput}.${b64url(sig)}`;
}

const token = await encodeJwt({ sub: 'user_123', exp: 1999999999 }, 'my-secret');
// → eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzEyMyIsImV4cCI6MTk5OTk5OTk5OX0....

Hauptfunktionen

Beispiele

{
  "sub": "user_123",
  "name": "Alice",
  "role": "admin",
  "iat": 1715000000,
  "exp": 1999999999
}
secret: a-string-secret-at-least-256-bits-long

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzEyMyIsIm5hbWUiOiJBbGljZSIsInJvbGUiOiJhZG1pbiIsImlhdCI6MTcxNTAwMDAwMCwiZXhwIjoxOTk5OTk5OTk5fQ.<HMAC-SHA256 signature>

{
  "iss": "https://auth.example.com",
  "aud": "api.example.com",
  "sub": "90087165",
  "scope": "read:user write:post",
  "iat": 1715000000,
  "exp": 1999999999
}
private key: -----BEGIN PRIVATE KEY----- (PKCS8)

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwczovL2F1dGguZXhhbXBsZS5jb20iLCJhdWQiOiJhcGkuZXhhbXBsZS5jb20iLCJzdWIiOiI5MDA4NzE2NSIsInNjb3BlIjoicmVhZDp1c2VyIHdyaXRlOnBvc3QiLCJpYXQiOjE3MTUwMDAwMDAsImV4cCI6MTk5OTk5OTk5OX0.<RSA signature>

{
  "sub": "device-42",
  "iat": 1715000000,
  "exp": 1999999999
}
private key: -----BEGIN PRIVATE KEY----- (P-256)

eyJhbGciOiJFUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJkZXZpY2UtNDIiLCJpYXQiOjE3MTUwMDAwMDAsImV4cCI6MTk5OTk5OTk5OX0.<ECDSA P-256 signature>

Anleitung

1. 1

   Payload-Claims bearbeiten

   Schreiben Sie die Claims, die Ihr Token benötigt, als JSON in den Payload-Editor. Verwenden Sie die Schnell-Claim-Chips, um iss, sub, aud, iat, nbf oder einen einstündigen exp einzufügen, ohne Zeitstempel einzutippen.

2. 2

   Algorithmus wählen & Schlüssel eingeben

   Wählen Sie einen Signaturalgorithmus. Geben Sie für HS256/384/512 ein Geheimnis ein; fügen Sie für RS-, PS- oder ES-Algorithmen einen privaten Schlüssel als PKCS8-PEM ein. Der Token wird beim Tippen lokal signiert.

3. 3

   Signiertes JWT kopieren

   Der signierte Token erscheint sofort, farblich nach Segment getrennt. Klicken Sie auf Kopieren, um ihn in einen Authorization-Header, curl-Befehl oder Test zu übernehmen. Ihr Schlüssel hat Ihren Browser niemals verlassen.

Common Errors

secret: "password123"  // guessable, low entropy

secret: base64(crypto.randomBytes(32))  // >=256 random bits

{ "sub": "user_123", "role": "admin" }  // no exp

{ "sub": "user_123", "role": "admin", "exp": 1715003600 }

-----BEGIN RSA PRIVATE KEY-----  // PKCS1, not supported

openssl pkcs8 -topk8 -nocrypt -in pkcs1.pem -out pkcs8.pem

Häufige Anwendungsfälle

Token für API-Tests generieren

Generieren Sie in Sekunden einen HS256-Bearer-Token, um einen geschützten Endpunkt aus curl, Postman oder einem Integrationstest zu testen.

OAuth- und OIDC-Token reproduzieren

Erstellen Sie einen RS256- oder ES256-Token, der widerspiegelt, was Ihr Authorization-Server ausgibt, sodass Sie Claim- und Audience-Abweichungen debuggen können.

Test-Fixtures erstellen

Erzeugen Sie deterministische signierte Token für Unit- und Integrationstests, ohne einen vollständigen Auth-Server aufzusetzen.

Autorisierungsfehler debuggen

Stellen Sie die Token-Form eines Kunden nach — Aussteller, Audience, Scope, Ablauf —, um herauszufinden, warum ein Backend ihn ablehnt.

Einen Prüfer validieren

Signieren Sie Token mit einem bekannten Schlüssel, um zu bestätigen, dass Ihre Verifizierungs-Middleware gültige Token akzeptiert und manipulierte ablehnt.

Auth-Abläufe prototypisieren

Geben Sie Teamkollegen einsatzbereite Token, während Sie einen neuen Login, Microservice oder Service-zu-Service-Aufruf verdrahten.

Technische Details

Konform zu RFC 7519 / 7515 / 7518

Erzeugt JWS-Token, die RFC 7519 (JWT), RFC 7515 (JWS) und RFC 7518 (JWA) entsprechen, mit den registrierten Algorithmus-Kennungen im Header.

Native Web-Crypto-Signierung

Signiert über crypto.subtle für HMAC, RSASSA-PKCS1-v1_5, RSA-PSS und ECDSA. ECDSA-Signaturen werden als rohes r||s ausgegeben, genau wie JWS es verlangt.

Base64URL, keine Abhängigkeiten

Header und Payload werden mit dem URL-sicheren Alphabet (RFC 4648) Base64URL-kodiert, ohne Padding. Keine externen Bibliotheken, keine Netzwerkaufrufe, keine Telemetrie.

Best Practices

Stets einen Ablauf setzen

Fügen Sie einen exp-Claim hinzu, damit ein geleakter Token seine Gültigkeit verliert. Kurze Lebensdauern verkleinern den Schadensradius — Minuten für Access-Token, nicht Tage.

Geheimnisse aus dem Payload heraushalten

Ein JWT-Payload ist für jeden mit dem Token lesbar. Legen Sie Identifikatoren und Scopes hinein; niemals Passwörter, API-Schlüssel oder vollständige PII.

In Produktion serverseitig signieren

Verwenden Sie dieses Tool für Tests und Debugging. In echten Systemen signieren Sie Token auf dem Server mit einer gepflegten Bibliothek und einem Schlüssel aus Ihrem Secrets-Manager.

Häufig gestellte Fragen