Gerador JWT

O gerador JWT cria JSON Web Tokens a partir de header, payload e configurações de assinatura. Um JWT tem três partes codificadas em Base64URL e costuma carregar claims como ID de usuário, papéis, expiração, emissor e audiência entre serviços. A ferramenta é útil para testes de API, desenvolvimento local, aprendizado, depuração e criação rápida de tokens de exemplo. Um token gerado só é confiável quando gestão de chaves, escolha de algoritmo, expiração e validação no servidor são tratadas corretamente. Segredos não devem ser usados em exemplos públicos, algoritmos fracos ou validade longa são arriscados, e dados sensíveis não devem ficar em payload sem criptografia.

O gerador e o parser de JWT são processos inversos: o parser separa as três partes, o gerador as monta. O núcleo é calcular o segmento de Signature. Fluxo de montagem: 1) Construir o Header JSON, por exemplo {"alg":"HS256","typ":"JWT"}; 2) Construir o Payload JSON com claims padrão e privadas; 3) Codificar Header e Payload separadamente em Base64URL para obter h_b64 e p_b64; 4) Juntar h_b64 e p_b64 com um ponto, formando input = h_b64 + '.' + p_b64; 5) Calcular a assinatura conforme alg: HMAC-SHA256/384/512(secret, input); 6) Codificar o resultado da assinatura em Base64URL; 7) O token final é input + '.' + sig_b64. Assinatura HMAC-SHA256: usar o segredo como chave (>= 32 bytes) e rodar HMAC sobre input. Internamente, HMAC executa duas rodadas de SHA-256: primeiro deriva chaves ipad/opad do segredo, depois calcula SHA256(secret XOR ipad || msg) XOR opad. Força da chave: o comprimento do segredo determina a segurança. RFC 7518 exige chaves HS256 >= 256 bits (32 bytes). Em produção, use sempre um RNG criptograficamente seguro (por exemplo, crypto.randomBytes); nunca use strings como 'secret', 'password' ou '123456'. Armadilhas comuns: 1) Ataque de substituição de alg: o servidor deve validar alg estritamente e não deve ler alg do header do token para despachar ao algoritmo correspondente; 2) Chaves fracas: um segredo curto demais é quebrado por força bruta; 3) Adulteração de payload: HMAC garante integridade — se um atacante alterar o payload, a verificação no servidor falha; 4) Vazamento de token: JWT não pode ser revogado; uma vez fora, só resta aguardar o exp. Escopo desta ferramenta: somente HS256/HS384/HS512 são gerados. Algoritmos assimétricos como RS256 (RSA) e ES256 (ECDSA) exigem chave privada no emissor e são produzidos por um serviço de assinatura no backend ou por um SDK específico, não por esta página.

• Núcleo da assinatura HMAC-SHA256: HMAC(secret, header_b64 + '.' + payload_b64), gera uma assinatura de 256 bits e a codifica em Base64URL.
• O comprimento da chave HS256 deve ser >= 32 bytes (256 bits); recomenda-se gerar com crypto.getRandomValues ou crypto.randomBytes — chaves curtas são vulneráveis a ataques de dicionário.
• Esta ferramenta gera apenas tokens assinados com HMAC (HS256/HS384/HS512). Algoritmos assimétricos como RS256 ou ES256 exigem uma chave privada guardada pelo emissor e não são produzidos aqui — use um serviço de assinatura no backend ou um SDK específico para esses casos.
• iat/exp/nbf são todos timestamps Unix em segundos (não milissegundos); servidores geralmente exigem exp > agora(), nbf <= agora() e iat <= agora().
• Ataque alg=none: mantenha uma whitelist de algoritmos permitidos no lado do servidor (ex. ['HS256']); nunca escolha o algoritmo dinamicamente a partir do header do token. Muitas bibliotecas JWT historicamente permitiam alg=none por padrão — isso é uma vulnerabilidade conhecida.
• Um JWT não pode ser revogado após emitido — o único recurso é esperar o exp. Para revogação ativa, mantenha uma blacklist de jti ou use um access token de curta duração mais um refresh token.