JWT-generator

Typische belading voor een geauthentificeerd gebruikers-token

{
  "iss": "https://auth.example.com",
  "aud": "api.example.com",
  "sub": "user_12345",
  "iat": 1713398400,
  "nbf": 1713398400,
  "exp": 1713402000,
  "jti": "3c7c7e14-2de4-41f0-bf09-1eb5cfad4c01",
  "scope": "read:profile write:posts"
}

Keuze van de algoritme: HMAC versus asymmetrische algoritmen

Sleutelsterkte

• HMAC-geheimen moeten minstens even veel entropie hebben als de grootte van de uitvoer van het algoritme. HS256 vereist 256 willekeurige bits (32 bytes); minder is kwetsbaar voor brute force.
• RSA-sleutels moeten minimaal 2048 bit hebben; voor langlevende tokens zijn 3072 of 4096 bit geschikt.
• ECDSA (ES256) biedt een vergelijkbare beveiliging als RSA 3072, maar met veel kleinere sleutels en snellere ondertekening.

Verlopen van de geldigheidsperiode

Een korte vervaltijd in combinatie met een vernieuwingstoken vormt het moderne patroon. Langlevende toegangstokens zijn moeilijk in te trekken wanneer ze gecompromitteerd zijn.

Veelvoorkomende fouten

• Een testgeheim hergebruiken in productie. De generator markeert HS256-geheimen en de gegenereerde JWT als alleen voor testdoeleinden wanneer het geheim zwak lijkt. Vertrouw op die waarschuwing.
• Ondertekenen zonder exp. Een JWT zonder vervaldatum is voor altijd geldig. Stel altijd exp in, tenzij u een zeer goede reden heeft en over een intrekkingslijst beschikt.
• De alg uit de header gebruiken aan de verificatiekant. Zet algoritmen aan de verificatiekant altijd op een witte lijst; volg niet wat het token vraagt.
• Hier een echte privésleutel plakken. Deze generator werkt in uw browser, maar behandel privésleutels als geheimen: gebruik testsleutels in plaats van productiesleutels.