Was heisst "ein JWT signieren" und warum wichtig?
Ein JWT hat drei Teile: Header, Payload, Signatur. Die ersten zwei sind plain base64 (jeder kann sie lesen), die dritte ist eine kryptografische Signatur, die beweist, dass niemand die Daten unterwegs manipuliert hat.
Hier signierst du ein JWT oder verifizierst eine existierende Signatur. Wir unterstuetzen jeden Standard-Algorithmus: HS256/384/512 (symmetrisch, Secret-basiert), RS256/384/512 (RSA), ES256/384/512 (ECDSA), PS256/384/512 (RSA-PSS).
Alles laeuft lokal. Dein Secret oder Private Key verlaesst den Browser nie. Anderes Tool als der JWT-Decoder (der dekodiert nur, ohne Signieren).
So nutzt du das Tool
- Sign-Modus: Header-JSON links, Payload-JSON rechts. Algorithmus aus der ersten Pill-Zeile waehlen.
- HMAC (HS256/384/512): gib ein geteiltes Secret (String), gleiches Secret zur Verifikation. Einfachstes Setup, die meisten APIs nutzen HS256.
- Asymmetrisch (RS/ES/PS): paste einen PEM-Private-Key (PKCS#8). Public Key gibst du den Consumern. Sicherer, weil der Token-Issuer die Consumer-Secrets nicht kennt.
- exp-Helfer: fuegt einen "expires in 1h/1d/30d"-Claim zum Payload. JWT ohne exp ist gefaehrlich (laeuft nie ab).
- Verify-Modus: paste ein JWT und Key/Secret. Gruener Haken = alles ok. Rotes X = ungueltige Signatur, abgelaufen oder anderes Problem.
Wann nutzen
Fuenf typische Situationen, in denen du ein JWT signierst oder verifizierst:
- User-Session in deiner API. Nach Login JWT mit user_id, role, exp erzeugen, mit HS256 + Secret signieren.
- API-Key fuer Partner-Integration. Long-lived JWT (exp = +1 Jahr), Partner haengt es an jeden Request.
- Password-Reset. Mail mit Link, der JWT enthaelt (exp = +1h, Payload = user_id), User klickt, du verifizierst.
- Webhook-Signaturen. Deine API signiert Webhook-Payload, Partner verifiziert mit Public Key vor Vertrauen.
- Single Sign-On (SSO). Identity-Provider (Auth0, Okta) gibt JWT aus, jede App verifiziert mit Public Key.
Um JWT nur zu dekodieren (ohne Signieren), nimm den JWT-Decoder. Um ein Keypair zum Signieren zu generieren, den JWT-Schluesselpaar-Generator.