JWT-Generator

Typische Payload für ein authentifiziertes Benutzertoken

{
  "iss": "https://auth.example.com",
  "aud": "api.example.com",
  "sub": "user_12345",
  "iat": 1713398400,
  "nbf": 1713398400,
  "exp": 1713402000,
  "jti": "3c7c7e14-2de4-41f0-bf09-1eb5cfad4c01",
  "scope": "read:profile write:posts"
}

Algorithmuswahl: HMAC vs asymmetrisch

Schlüsselsicherheit

• HMAC-Geheimnisse müssen mindestens so viel Entropie haben wie die Ausgabedimension des Algorithmus. HS256 benötigt 256 zufällige Bits (32 Bytes); weniger ist bruteforcebar.
• RSA-Schlüssel sollten mindestens 2048 Bit haben; 3072 oder 4096 für langlebige Tokens.
• ECDSA (ES256) bietet vergleichbare Sicherheit zu RSA 3072 mit viel kleineren Schlüsseln und schnellerer Signierung.

Ablaufrichtlinien

Kurze Ablauffrist + Aktualisierungstoken ist das moderne Muster. Langlebige Zugriffstoken sind schwer zu widerrufen, wenn sie kompromittiert sind.

Häufige Fehler

• Wiederverwendung eines Testgeheimnisses in der Produktion. Der Generator kennzeichnet HS256-Geheimnisse und das ausgegebene JWT als nur für Tests, wenn das Geheimnis schwach aussieht. Vertrauen Sie dieser Warnung.
• Signieren ohne exp. Ein JWT ohne Ablauf ist für immer gültig. Setzen Sie immer exp, es sei denn, Sie haben einen sehr guten Grund und eine Widerrufsliste.
• Verwendung des alg aus dem Header beim Verifier. Whitelisten Sie immer Algorithmen auf der Verifizierungsseite; folgen Sie nicht dem, was das Token verlangt.
• Einen echten privaten Schlüssel hier einfügen. Dieser Generator läuft in Ihrem Browser, aber behandeln Sie private Schlüssel als Geheimnisse: Verwenden Sie Testschlüssel, keine Produktionsschlüssel.