JWT-encoder & generator

Wat is een JWT-encoder?

// Sign a JWT in the browser with the Web Crypto API (HS256)
async function encodeJwt(payload, secret) {
  const b64url = (bytes) =>
    btoa(String.fromCharCode(...new Uint8Array(bytes)))
      .replace(/\+/g, '-').replace(/\//g, '_').replace(/=+$/, '');
  const enc = (obj) =>
    b64url(new TextEncoder().encode(JSON.stringify(obj)));

  const header = { alg: 'HS256', typ: 'JWT' };
  const signingInput = `${enc(header)}.${enc(payload)}`;

  const key = await crypto.subtle.importKey(
    'raw', new TextEncoder().encode(secret),
    { name: 'HMAC', hash: 'SHA-256' }, false, ['sign']);
  const sig = await crypto.subtle.sign(
    'HMAC', key, new TextEncoder().encode(signingInput));

  return `${signingInput}.${b64url(sig)}`;
}

const token = await encodeJwt({ sub: 'user_123', exp: 1999999999 }, 'my-secret');
// → eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzEyMyIsImV4cCI6MTk5OTk5OTk5OX0....

Functies

Voorbeelden

{
  "sub": "user_123",
  "name": "Alice",
  "role": "admin",
  "iat": 1715000000,
  "exp": 1999999999
}
secret: a-string-secret-at-least-256-bits-long

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzEyMyIsIm5hbWUiOiJBbGljZSIsInJvbGUiOiJhZG1pbiIsImlhdCI6MTcxNTAwMDAwMCwiZXhwIjoxOTk5OTk5OTk5fQ.<HMAC-SHA256 signature>

{
  "iss": "https://auth.example.com",
  "aud": "api.example.com",
  "sub": "90087165",
  "scope": "read:user write:post",
  "iat": 1715000000,
  "exp": 1999999999
}
private key: -----BEGIN PRIVATE KEY----- (PKCS8)

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwczovL2F1dGguZXhhbXBsZS5jb20iLCJhdWQiOiJhcGkuZXhhbXBsZS5jb20iLCJzdWIiOiI5MDA4NzE2NSIsInNjb3BlIjoicmVhZDp1c2VyIHdyaXRlOnBvc3QiLCJpYXQiOjE3MTUwMDAwMDAsImV4cCI6MTk5OTk5OTk5OX0.<RSA signature>

{
  "sub": "device-42",
  "iat": 1715000000,
  "exp": 1999999999
}
private key: -----BEGIN PRIVATE KEY----- (P-256)

eyJhbGciOiJFUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJkZXZpY2UtNDIiLCJpYXQiOjE3MTUwMDAwMDAsImV4cCI6MTk5OTk5OTk5OX0.<ECDSA P-256 signature>

Zo gebruik je het

1. 1

   Bewerk de payload-claims

   Schrijf de claims die je token nodig heeft als JSON in de payload-editor. Gebruik de snelle-claim-chips om iss, sub, aud, iat, nbf of een exp van één uur in te voegen zonder timestamps te typen.

2. 2

   Kies een algoritme & voer de sleutel in

   Kies een ondertekeningsalgoritme. Voor HS256/384/512 voer je een secret in; voor RS-, PS- of ES-algoritmen plak je een PKCS8 PEM private sleutel. Het token wordt lokaal ondertekend terwijl je typt.

3. 3

   Kopieer het ondertekende JWT

   Het ondertekende token verschijnt direct, in kleur gemarkeerd per segment. Klik op Kopiëren om het in een Authorization-header, curl-commando of test te zetten. Je sleutel heeft je browser nooit verlaten.

Common Errors

secret: "password123"  // guessable, low entropy

secret: base64(crypto.randomBytes(32))  // >=256 random bits

{ "sub": "user_123", "role": "admin" }  // no exp

{ "sub": "user_123", "role": "admin", "exp": 1715003600 }

-----BEGIN RSA PRIVATE KEY-----  // PKCS1, not supported

openssl pkcs8 -topk8 -nocrypt -in pkcs1.pem -out pkcs8.pem

Veelvoorkomende toepassingen

Tokens genereren voor API-tests

Genereer in seconden een HS256 Bearer-token om een beveiligd endpoint te testen vanuit curl, Postman of een integratietest.

OAuth- & OIDC-tokens reproduceren

Bouw een RS256- of ES256-token dat overeenkomt met wat je autorisatieserver uitgeeft, zodat je claim- en audience-mismatches kunt debuggen.

Testfixtures aanmaken

Produceer deterministische ondertekende tokens voor unit- en integratietests zonder een volledige auth-server op te zetten.

Autorisatiefouten debuggen

Reproduceer de tokenvorm van een klant — issuer, audience, scope, vervaldatum — om te achterhalen waarom een backend hem afwijst.

Een verifieerder valideren

Onderteken tokens met een bekende sleutel om te bevestigen dat je verificatiemiddleware geldige tokens accepteert en gemanipuleerde tokens afwijst.

Auth-flows prototypen

Geef teamgenoten kant-en-klare tokens terwijl je een nieuwe login, microservice of service-to-service-aanroep aansluit.

Technische details

Conform RFC 7519 / 7515 / 7518

Produceert JWS-tokens conform RFC 7519 (JWT), RFC 7515 (JWS) en RFC 7518 (JWA), met de geregistreerde algoritme-identificatoren in de header.

Native Web Crypto-ondertekening

Ondertekent via crypto.subtle voor HMAC, RSASSA-PKCS1-v1_5, RSA-PSS en ECDSA. ECDSA-signatures worden uitgegeven als onbewerkte r||s, precies zoals JWS vereist.

Base64URL, nul afhankelijkheden

Header en payload worden via Base64URL geëncodeerd met het URL-veilige alfabet (RFC 4648), zonder padding. Geen externe bibliotheken, geen netwerkoproepen, geen telemetrie.

Best practices

Stel altijd een vervaldatum in

Voeg een exp-claim toe zodat een gelekt token ophoudt geldig te zijn. Korte levensduren verkleinen de schade — minuten voor access tokens, geen dagen.

Houd geheimen buiten de payload

Een JWT-payload is leesbaar voor iedereen met het token. Zet er identificatoren en scopes in; nooit wachtwoorden, API-sleutels of volledige PII.

Onderteken server-side in productie

Gebruik deze tool voor tests en debuggen. In echte systemen onderteken je tokens op de server met een onderhouden bibliotheek en een sleutel uit je secrets manager.

Veelgestelde vragen