JWT Generator: signierte Tokens mit HS256/384/512 erstellen
Erstelle signierte JWT-Tokens mit HS256, HS384 oder HS512. Füge eigene Claims hinzu, setze eine Ablaufzeit und kopiere das Token. Kostenlos und im Browser: Das Signieren läuft über die Web Crypto API, deine Geheimnisse und Tokens verlassen dein Gerät nie.
So verwendest du dieses Werkzeug
- Wähle einen Signaturalgorithmus und gib deinen geheimen oder privaten Schlüssel ein.
- Fülle die Payload-Felder aus oder füge eine benutzerdefinierte JSON-Payload ein.
- Klicke auf „Signieren", um das JWT zu generieren, und kopiere es aus der Ausgabe.
Keep your secret secure. Never use real production secrets in online tools. This tool runs entirely in your browser — nothing is transmitted.
Über JWT-Generator
Ein JSON Web Token packt drei Base64URL-kodierte Teile in eine kompakte Zeichenkette: einen Header, der den Signaturalgorithmus nennt, einen Payload, der Claims trägt, und eine Signatur, die beweist, dass die ersten beiden Teile nicht verändert wurden. Dieser Generator baut alle drei. Du wählst einen HMAC-Algorithmus (HS256, HS384 oder HS512), füllst die standardmäßigen registrierten Claims aus, fügst optional eigene Claims als JSON hinzu, und das Werkzeug signiert das Ergebnis mit deinem Geheimnis, um ein Token zu erzeugen, das du direkt in einen Authorization-Header oder ein Test-Setup einfügen kannst.
Das Formular legt die Claims offen, zu denen Entwickler am häufigsten greifen. Subject (sub) identifiziert das Subjekt, über das das Token handelt, Issuer (iss) nennt, wer es ausgestellt hat, und Audience (aud) nennt, für wen es gedacht ist, und ist optional gelassen. Das Ablauf-Auswahlmenü bietet Voreinstellungen von einer Stunde bis zu dreißig Tagen; das Werkzeug berechnet die Zeitstempel für „ausgestellt am" (iat) und Ablauf (exp) für dich, sodass das Token eine realistische Lebensdauer widerspiegelt. Alles andere, was du brauchst, kommt in das Feld für eigene Claims als JSON-Objekt, zum Beispiel eine Rolle oder eine Mandanten-ID, das vor dem Signieren validiert und in den Payload eingefügt wird.
Das Signieren nutzt die native Web Crypto API des Browsers. Dein Geheimnis wird als HMAC-Schlüssel importiert, Header und Payload werden kodiert und verbunden, und der laufende Text wird signiert, um das dritte Segment zu erzeugen. Weil HS256, HS384 und HS512 allesamt symmetrische HMAC-Verfahren sind, signiert und verifiziert dasselbe Geheimnis, weshalb die Ausgabe in jedem JWT-Debugger sauber dekodiert. Nach der Erzeugung dekodiert das Werkzeug Header und Payload und zeigt sie nebeneinander an, sodass du genau bestätigen kannst, was eingebettet wurde, bevor du das Token kopierst.
Alles geschieht lokal in deinem Browser, sodass Geheimnisse und Tokens nie übertragen werden. Das ist auch der Grund, warum das Werkzeug davor warnt, echte Produktionsgeheimnisse in irgendein Online-Hilfsmittel einzufügen: Ein durchgesickertes HMAC-Geheimnis lässt jeden gültige Tokens für dein System fälschen. Verwende hier Wegwerf-Geheimnisse zum Prototyping, zum Debuggen von Auth-Flows, zum Vorbereiten von Integrationstests oder um zu lernen, wie die JWT-Struktur zusammenpasst, und bewahre deine echten Signaturschlüssel in einem Geheimnis-Manager auf.
Häufig gestellte Fragen
- Welche Signaturalgorithmen unterstützt dieses Werkzeug?
- Es unterstützt die drei symmetrischen HMAC-Algorithmen: HS256 (HMAC-SHA-256), HS384 (HMAC-SHA-384) und HS512 (HMAC-SHA-512). Alle drei signieren und verifizieren mit demselben gemeinsamen Geheimnis. Asymmetrische Algorithmen wie RS256 oder ES256, die ein privates/öffentliches Schlüsselpaar verwenden, werden hier nicht angeboten.
- Was ist der Unterschied zwischen HS256, HS384 und HS512?
- Sie unterscheiden sich nur in der zugrunde liegenden SHA-Hash-Größe. HS256 verwendet SHA-256 und ist der häufigste Standard; HS384 und HS512 verwenden größere Hashwerte und erzeugen längere Signaturen. Alle drei sind sicher, wenn sie mit einem ausreichend langen, zufälligen Geheimnis kombiniert werden. Die größeren Hashwerte bieten keinen praktischen Vorteil, sofern deine Sicherheitsrichtlinie sie nicht ausdrücklich verlangt.
- Werden die Claims iat und exp automatisch hinzugefügt?
- Ja. Das Werkzeug setzt „ausgestellt am" (iat) auf die aktuelle Zeit und berechnet den Ablauf (exp), indem es die im Ablauf-Auswahlmenü gewählte Dauer addiert, die von einer Stunde bis zu dreißig Tagen reicht. Beide sind standardmäßige numerische Datums-Claims, ausgedrückt in Sekunden seit der Unix-Epoche.
- Wie füge ich Claims über sub, iss und aud hinaus hinzu?
- Nutze das Feld für eigene Claims und gib ein JSON-Objekt ein, zum Beispiel {„role": „admin", „tier": „pro"}. Das Werkzeug parst und validiert diesen JSON und fügt dann diese Schlüssel in den Payload ein. Ist der JSON fehlerhaft, erhältst du einen Fehler und es wird kein Token erzeugt.
- Ist es sicher, hier mein Produktionsgeheimnis zu verwenden?
- Nein. Verwende ein Wegwerf-Geheimnis. Jeder, der dein HMAC-Geheimnis kennt, kann Tokens fälschen, die dein Backend als gültig akzeptiert. Obwohl dieses Werkzeug vollständig in deinem Browser signiert und nichts überträgt, ist es gute Gewohnheit, echte Signaturgeheimnisse niemals in irgendein Online-Werkzeug einzufügen. Bewahre Produktionsgeheimnisse in einem Geheimnis-Manager auf.
- Kann ich mit diesem Werkzeug ein bestehendes Token verifizieren oder dekodieren?
- Dieses Werkzeug konzentriert sich auf das Erzeugen und Signieren neuer Tokens. Nach dem Signieren dekodiert es den entstandenen Header und Payload und zeigt sie dir, damit du den Inhalt bestätigen kannst. Um ein Token zu inspizieren, das jemand anderes ausgestellt hat, nutze einen eigenen JWT-Decoder, da die Verifikation eines HMAC-Tokens das ursprüngliche Geheimnis erfordert.
- Warum sieht das erzeugte Token wie drei durch Punkte verbundene Base64-Zeichenketten aus?
- Das ist das kompakte JWT-Serialisierungsformat: header.payload.signature. Jeder Teil ist Base64URL-kodiert, eine URL-sichere Variante, die einige Zeichen ersetzt und die Auffüllung weglässt. Die Punkte sind wörtliche Trenner. Header und Payload sind kodiert, aber nicht verschlüsselt, sodass jeder sie lesen kann; nur die Signatur beweist, dass sie nicht verfälscht wurden.
- Sendet das Werkzeug mein Token irgendwohin?
- Nein. Das Signieren nutzt die Web Crypto API des Browsers und alle Werte bleiben auf deinem Gerät; nichts wird an einen Server gesendet.