Gerador de JWT

Carga útil típica para um token de usuário autenticado

{
  "iss": "https://auth.example.com",
  "aud": "api.example.com",
  "sub": "user_12345",
  "iat": 1713398400,
  "nbf": 1713398400,
  "exp": 1713402000,
  "jti": "3c7c7e14-2de4-41f0-bf09-1eb5cfad4c01",
  "scope": "read:profile write:posts"
}

Escolha do algoritmo: HMAC vs assimétrico

Força da chave

• Segredos HMAC devem ter pelo menos tanta entropia quanto o tamanho da saída do algoritmo. HS256 precisa de 256 bits aleatórios (32 bytes); menos é passível de força bruta.
• Chaves RSA devem ter no mínimo 2048 bits; 3072 ou 4096 para tokens de longa duração.
• ECDSA (ES256) oferece segurança comparável à RSA 3072 com chaves muito menores e assinatura mais rápida.

Diretrizes de expiração

Expiração curta + token de atualização é o padrão moderno. Tokens de acesso de longa duração são difíceis de revogar quando comprometidos.

Erros comuns

• Reutilizar um segredo de teste em produção. O gerador marca segredos HS256 e o JWT de saída como apenas para teste se o segredo parecer fraco. Confie nesse aviso.
• Assinar sem exp. Um JWT sem expiração é válido para sempre. Sempre defina exp a menos que você tenha um motivo muito bom e uma lista de revogação.
• Usar o alg do cabeçalho no verificador. Sempre coloque em lista branca os algoritmos do lado da verificação; não siga o que o token pede.
• Colar uma chave privada real aqui. Este gerador roda no seu navegador, mas trate chaves privadas como segredos: use chaves de teste, não de produção.