JWT Oluşturucu

Hayır ve JWT hakkında en çok yanlış bilinen şey tam olarak bu. Payload Base64URL ile kodlanmıştır, herkes bir saniyede çözer. İmza token'ın değiştirilmesini engeller, okunmasını değil. Bir JWT'nin içine asla parola, kart numarası ya da özel bir bilgi koymayın.

RS256 ve ES256 özel anahtarla imzalar. Üretimdeki bir özel anahtarı herhangi bir web sayfasına yapıştırmak, er ya da geç sızıntı demektir. Asimetrik token'ları kendi sunucunuzdaki kütüphaneyle imzalayın.

Saniye cinsinden Unix zaman damgalarıdır. iat token'ın üretildiği an, exp geçerliliğinin bittiği an, nbf ise öncesinde reddedilmesi gereken andır. Kısa geçerlilik süresi gerçek bir savunmadır, çünkü çalınan token yalnızca exp'e kadar işe yarar.

Erişim token'ı için günler değil dakikalar. Arkasında refresh token olan on beş dakika yaygın bir kalıptır. Bir ay yaşayan token, onu çalan için bir aylık açık pencere demektir, çünkü durumsuz bir JWT süresi dolmadan iptal edilemez.

Dilinizin JWT kütüphanesini aynı gizli anahtarla kullanın ve algoritmayı da doğruladığından emin olun. Klasik açık, header'daki alg alanına güvenip none ile imzalanmış token'ı kabul eden sunucudur.

Evet, JWT çözücümüz header ve payload'ı okur, zaman alanlarını okunabilir biçimde gösterir. Gizli anahtara ihtiyaç duymaz, çünkü bir JWT'yi okumak zaten hiç duymaz.

En az 32 rastgele bayt. API anahtarı oluşturucumuzla üretip ortam değişkeninde saklayın, depoya koymayın. Anahtar sızarsa API'niz için geçerli token'ı herkes üretebilir.

Hayır. İmzalama bu sekmede Web Crypto API ile yapılır. Yazdığınız hiçbir şey gönderilmez veya saklanmaz.