JWT-энкодер и генератор

Что такое JWT-энкодер?

// Sign a JWT in the browser with the Web Crypto API (HS256)
async function encodeJwt(payload, secret) {
  const b64url = (bytes) =>
    btoa(String.fromCharCode(...new Uint8Array(bytes)))
      .replace(/\+/g, '-').replace(/\//g, '_').replace(/=+$/, '');
  const enc = (obj) =>
    b64url(new TextEncoder().encode(JSON.stringify(obj)));

  const header = { alg: 'HS256', typ: 'JWT' };
  const signingInput = `${enc(header)}.${enc(payload)}`;

  const key = await crypto.subtle.importKey(
    'raw', new TextEncoder().encode(secret),
    { name: 'HMAC', hash: 'SHA-256' }, false, ['sign']);
  const sig = await crypto.subtle.sign(
    'HMAC', key, new TextEncoder().encode(signingInput));

  return `${signingInput}.${b64url(sig)}`;
}

const token = await encodeJwt({ sub: 'user_123', exp: 1999999999 }, 'my-secret');
// → eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzEyMyIsImV4cCI6MTk5OTk5OTk5OX0....

Ключевые возможности

Примеры

{
  "sub": "user_123",
  "name": "Alice",
  "role": "admin",
  "iat": 1715000000,
  "exp": 1999999999
}
secret: a-string-secret-at-least-256-bits-long

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzEyMyIsIm5hbWUiOiJBbGljZSIsInJvbGUiOiJhZG1pbiIsImlhdCI6MTcxNTAwMDAwMCwiZXhwIjoxOTk5OTk5OTk5fQ.<HMAC-SHA256 signature>

{
  "iss": "https://auth.example.com",
  "aud": "api.example.com",
  "sub": "90087165",
  "scope": "read:user write:post",
  "iat": 1715000000,
  "exp": 1999999999
}
private key: -----BEGIN PRIVATE KEY----- (PKCS8)

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwczovL2F1dGguZXhhbXBsZS5jb20iLCJhdWQiOiJhcGkuZXhhbXBsZS5jb20iLCJzdWIiOiI5MDA4NzE2NSIsInNjb3BlIjoicmVhZDp1c2VyIHdyaXRlOnBvc3QiLCJpYXQiOjE3MTUwMDAwMDAsImV4cCI6MTk5OTk5OTk5OX0.<RSA signature>

{
  "sub": "device-42",
  "iat": 1715000000,
  "exp": 1999999999
}
private key: -----BEGIN PRIVATE KEY----- (P-256)

eyJhbGciOiJFUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJkZXZpY2UtNDIiLCJpYXQiOjE3MTUwMDAwMDAsImV4cCI6MTk5OTk5OTk5OX0.<ECDSA P-256 signature>

Как использовать

1. 1

   Отредактируйте claims payload

   Запишите нужные токену claims как JSON в редакторе payload. Используйте чипы быстрых claims, чтобы вставить iss, sub, aud, iat, nbf или часовой exp, не набирая timestamp.

2. 2

   Выберите алгоритм и введите ключ

   Выберите алгоритм подписи. Для HS256/384/512 введите секрет; для алгоритмов RS, PS или ES вставьте приватный ключ PKCS8 PEM. Токен подписывается локально по мере ввода.

3. 3

   Скопируйте подписанный JWT

   Подписанный токен появляется мгновенно, с цветовой разметкой по сегментам. Нажмите «Скопировать», чтобы перенести его в Authorization-заголовок, curl-команду или тест. Ваш ключ не покидал браузер.

Common Errors

secret: "password123"  // guessable, low entropy

secret: base64(crypto.randomBytes(32))  // >=256 random bits

{ "sub": "user_123", "role": "admin" }  // no exp

{ "sub": "user_123", "role": "admin", "exp": 1715003600 }

-----BEGIN RSA PRIVATE KEY-----  // PKCS1, not supported

openssl pkcs8 -topk8 -nocrypt -in pkcs1.pem -out pkcs8.pem

Типичные сценарии

Генерация токенов для тестирования API

Сгенерируйте HS256 Bearer-токен за секунды, чтобы проверить защищённый endpoint из curl, Postman или интеграционного теста.

Воспроизведение токенов OAuth и OIDC

Соберите RS256 или ES256 токен, повторяющий то, что выпускает ваш сервер авторизации, чтобы отладить несовпадения claims и audience.

Создание тестовых фикстур

Создавайте детерминированные подписанные токены для модульных и интеграционных тестов без поднятия полноценного сервера аутентификации.

Отладка сбоев авторизации

Воссоздайте форму токена клиента — issuer, audience, scope, срок действия — чтобы найти, почему бэкенд его отвергает.

Проверка проверяющей стороны

Подпишите токены известным ключом, чтобы убедиться, что ваше middleware проверки принимает валидные токены и отвергает подделанные.

Прототипирование флоу аутентификации

Передавайте коллегам готовые к использованию токены при сборке нового логина, микросервиса или межсервисного вызова.

Технические детали

Соответствие RFC 7519 / 7515 / 7518

Создаёт JWS-токены, соответствующие RFC 7519 (JWT), RFC 7515 (JWS) и RFC 7518 (JWA), с зарегистрированными идентификаторами алгоритмов в header.

Нативная подпись Web Crypto

Подписывает через crypto.subtle для HMAC, RSASSA-PKCS1-v1_5, RSA-PSS и ECDSA. Подписи ECDSA выдаются как сырые r||s, ровно как требует JWS.

Base64URL, без зависимостей

Header и payload кодируются в Base64URL URL-безопасным алфавитом (RFC 4648), без padding. Без внешних библиотек, без сетевых вызовов, без телеметрии.

Лучшие практики

Всегда задавайте срок действия

Включайте claim exp, чтобы утёкший токен переставал быть валидным. Короткое время жизни сужает радиус поражения — минуты для access-токенов, не дни.

Не держите секреты в payload

Payload JWT читаем любым, у кого есть токен. Кладите в него идентификаторы и scope; никогда — пароли, API-ключи или полные PII.

Подписывайте на сервере в production

Используйте этот инструмент для тестов и отладки. В реальных системах подписывайте токены на сервере поддерживаемой библиотекой с ключом из менеджера секретов.

Часто задаваемые вопросы