Generatore JWT

Payload tipico per un token utente autenticato

{
  "iss": "https://auth.example.com",
  "aud": "api.example.com",
  "sub": "user_12345",
  "iat": 1713398400,
  "nbf": 1713398400,
  "exp": 1713402000,
  "jti": "3c7c7e14-2de4-41f0-bf09-1eb5cfad4c01",
  "scope": "read:profile write:posts"
}

Scelta dell’algoritmo: HMAC vs asimmetrico

Forza della chiave

• I segreti HMAC devono avere almeno la stessa entropia della dimensione dell’output dell’algoritmo. HS256 necessita di 256 bit casuali (32 byte); meno è vulnerabile a brute-force.
• Le chiavi RSA dovrebbero essere di almeno 2048 bit; 3072 o 4096 per token a lungo termine.
• ECDSA (ES256) offre una sicurezza comparabile a RSA 3072 con chiavi molto più piccole e firma più veloce.

Linee guida sulla scadenza

Scadenza breve + token di aggiornamento è il modello moderno. I token di accesso a lungo termine sono difficili da revocare quando compromessi.

Errori comuni

• Riutilizzare un segreto di test in produzione. Il generatore contrassegna i segreti HS256 e il JWT di output come solo per test se il segreto sembra debole. Fidati di quell’avviso.
• Firmare senza exp. Un JWT senza scadenza è valido per sempre. Imposta sempre exp a meno che tu non abbia una ragione molto valida e una lista di revoca.
• Usare l’alg dall’intestazione sul verificatore. Sempre autorizza gli algoritmi sul lato di verifica; non seguire ciò che il token richiede.
• Incollare qui una vera chiave privata. Questo generatore funziona nel tuo browser ma tratta le chiavi private come segreti: usa chiavi di test, non quelle di produzione.