So nutzt du: JWT Encoder
- Wähle den Signaturalgorithmus: HS256 für ein gemeinsames Secret, RS256 oder ES256 für einen privaten Schlüssel.
- Bearbeite das Payload-JSON und füge Claims wie
iatundexpüber die Buttons hinzu. - Gib das Secret ein oder füge bei RS/PS/ES-Algorithmen einen privaten Schlüssel im PKCS#8-Format ein.
- Kopiere das kodierte Token oder öffne es im Decoder, um es zu prüfen.
So wird ein JWT aufgebaut
Ein JSON Web Token (RFC 7519) besteht aus drei Base64url-Teilen, die durch Punkte getrennt sind: Header.Payload.Signatur. Die Signatur wird über die ersten beiden Teile berechnet. Jede Änderung am Header oder an den Claims macht sie daher ungültig. Der Payload ist nur kodiert, nicht verschlüsselt — jeder kann ihn lesen. Lege deshalb niemals Geheimnisse in einen JWT.
Den passenden Algorithmus wählen
| Algorithmus | Schlüssel | Wann verwenden |
|---|---|---|
| HS256 / HS384 / HS512 | Gemeinsames Secret (HMAC) | Ein Dienst stellt Tokens aus und prüft sie |
| RS256 / RS384 / RS512 | RSA-Privatschlüssel, öffentlicher Schlüssel zum Prüfen | Viele Dienste prüfen Tokens; breiteste Bibliotheksunterstützung (OAuth, OpenID Connect) |
| PS256 | RSA mit PSS-Padding | Wie RS256, aber mit einem moderneren Padding-Verfahren |
| ES256 / ES384 | EC-Privatschlüssel (P-256 / P-384) | Kurze Signaturen und Schlüssel; Apple und viele moderne APIs |
Registrierte Claims
issAussteller,subSubjekt (Benutzer-ID),audZielgruppeiatausgestellt am,nbfnicht vor,expAblauf — alle in Sekunden seit 1970 (Unix-Zeit; siehe den Timestamp-Converter)jtieindeutige Token-ID, nützlich für Sperrlisten
Secrets und Schlüssel
RFC 7518 verlangt, dass HMAC-Schlüssel mindestens so lang sind wie der Hash: für HS256 also 32 zufällige Bytes. Kurze, von Menschen gewählte Secrets lassen sich anhand eines einzigen Tokens offline knacken. Private Schlüssel müssen im PKCS#8-PEM-Format vorliegen (BEGIN PRIVATE KEY). Ältere Formate konvertierst du mit openssl pkcs8 -topk8 -nocrypt. Bestehende Tokens prüfst du mit dem JWT-Decoder.
Auch gesucht als: jwt generator, jwt erstellen, jwt online signieren, jwt builder, jwt token generieren, json web token erstellen, rs256 jwt.
Passende Tools zu: JWT Encoder
- RSA-Schlüsselgenerator — Erstelle ein Public/Private-Schlüsselpaar für JWT-Signierung, TLS-Tests, Verschlüsselungsexperimente oder SSH.
- HMAC Generator — Berechne schlüsselbasierte HMAC-Signaturen für API-Anfragen und Webhooks und prüfe, ob eine empfangene Signatur gültig ist — mit der Web Crypto API deines Browsers.
- Base64-Kodierung / -Dekodierung — Konvertiere Text in Base64 und zurück – mit vollständiger UTF-8-Unterstützung (Akzente, Emojis), wechsle zu URL-sicheren Base64-Werten oder zieh eine Datei per Drag & Drop hinein, um deren Base64-Zeichenkette oder Daten-URI zu erhalten.
- Hash-Generator — Berechne MD5- und SHA-Hashes von beliebigem Text oder beliebiger Datei sofort, erstelle HMAC-Signaturen und füge eine erwartete Prüfsumme ein, um einen Download zu verifizieren.
Häufige Fragen
Ist es sicher, JWTs hier zu erstellen?
Warum akzeptiert RS256 meinen privaten Schlüssel nicht?
openssl pkcs8 -topk8 -nocrypt -in key.pem.