Kostenloser JWT-Generator online

Der JWT Generator ist ein kostenloses Online-Tool, das JSON Web Tokens für Authentifizierungstests und Entwicklungszwecke erstellt und signiert.

Ja, er ist völlig kostenlos und erfordert keine Registrierung. Die gesamte Token-Generierung erfolgt clientseitig in deinem Browser, und dein geheimer Schlüssel wird niemals übertragen.

Der JWT Generator unterstützt HS256, HS384, HS512 und weitere gängige Signaturalgorithmen, die bei der JWT-Authentifizierung verwendet werden.

Absolut. Der JWT Generator verarbeitet alles clientseitig in deinem Browser. Es werden keine Daten auf einen Server hochgeladen oder dort gespeichert. Deine Inhalte bleiben jederzeit privat auf deinem Gerät.

Ja, der JWT Generator ist vollständig responsiv und funktioniert auf Smartphones und Tablets. Du kannst ihn auf jedem Gerät mit einem modernen Webbrowser nutzen – ohne App-Download.

Es ist kein Konto und keine Registrierung erforderlich. Öffne einfach den JWT Generator in deinem Browser und beginne sofort mit der Nutzung. Es gibt keine Anmeldeschranken oder Nutzungsbeschränkungen.

Gib einfach deine Eingabe in das vorgesehene Feld ein, passe die Einstellungen nach Wunsch an, und das Tool verarbeitet sie sofort. Anschließend kannst du das Ergebnis in die Zwischenablage kopieren oder herunterladen.

Der JWT Generator funktioniert in allen modernen Browsern, einschließlich Chrome, Firefox, Safari, Edge und Opera. Für das beste Erlebnis verwende die neueste Version deines bevorzugten Browsers.

Beide erzeugen eine SHA-basierte Signatur, aber das Schlüsselmodell ist völlig unterschiedlich. HS256 (sowie HS384/HS512) ist HMAC: Ein einziges gemeinsames Secret signiert das Token und verifiziert es auch, sodass jede Partei, die die Signatur prüft, ebenso ein Token fälschen könnte. RS256 (sowie RS384/RS512) basiert auf RSA und ist asymmetrisch: Ein privater Schlüssel signiert das Token, während ein separater öffentlicher Schlüssel es verifiziert — so kannst du den öffentlichen Schlüssel an viele Dienste weitergeben, ohne ihnen das Recht zu geben, selbst Tokens auszustellen. Als Faustregel gilt: Nutze HMAC, wenn ein einziges vertrauenswürdiges Backend Tokens sowohl ausstellt als auch prüft, und nutze RSA, wenn Prüfstellen den Signierschlüssel nicht besitzen sollen, etwa bei Drittanbietern oder einer öffentlichen API. Dieser Generator signiert mit allen sechs Algorithmen über die Web-Crypto-API des Browsers und kann ein 2048-Bit-RSA-Schlüsselpaar erzeugen, mit dem du RS256 vollständig durchtesten kannst.

Ja. Ein JWT ist signiert, aber nicht verschlüsselt, sodass jeder, der das Token besitzt, den Payload dekodieren und lesen kann. Header und Payload sind nur Base64URL-kodiert — nicht chiffriert — und jeder Decoder, auch dieser hier, kehrt das ohne Schlüssel sofort um. Die Signatur garantiert lediglich, dass das Token seit der Ausstellung nicht verändert wurde; sie verbirgt den Inhalt nicht. Das bedeutet: Platziere niemals Passwörter, API-Secrets oder sensible personenbezogene Daten in JWT-Claims. Behandle den Payload als öffentliche Information, die lediglich manipulationssicher ist. Wenn du den Inhalt wirklich verbergen musst, brauchst du ein verschlüsseltes Token (JWE), das ein eigener Mechanismus ist. Füge ein beliebiges Token in den Decoder dieses Tools ein, um genau zu sehen, was ein Empfänger lesen würde, und zu bestätigen, dass nichts Sensibles preisgegeben wird.

Das sind registrierte Zeit-Claims, gespeichert als Unix-Zeitstempel in Sekunden. Der Claim iat (Issued-at) hält fest, wann das Token erstellt wurde. Der Claim exp (Expiration) legt fest, wann es ungültig wird — Prüfstellen lehnen das Token ab, sobald die aktuelle Zeit exp überschreitet. Der Claim nbf (Not-before) ist das Gegenstück: Das Token ist ungültig, bis die aktuelle Zeit nbf erreicht, was für Tokens nützlich ist, die erst später aktiv werden sollen. Kurze exp-Fenster begrenzen den Schaden, falls ein Token durchsickert, da Refresh-Tokens längere Sitzungen übernehmen. Dieser Generator füllt iat und exp automatisch über Ein-Klick-Voreinstellungen von 15 Min, 1 Std, 24 Std, 7 Tagen, 30 Tagen und 1 Jahr aus und erlaubt es, einen nbf-Claim per Schalter zu aktivieren. Beim Dekodieren eines Tokens zeigt das Tool zudem an, ob es abgelaufen ist und wie viel Zeit bis zum oder seit dem exp vergangen ist.

Bei der Verifikation wird die Signatur über Header und Payload des Tokens mit dem richtigen Schlüssel neu berechnet und mit der im Token enthaltenen Signatur verglichen. Bei HMAC-Algorithmen (HS256/384/512) gibst du dasselbe gemeinsame Secret an, das zum Signieren verwendet wurde; bei RSA-Algorithmen (RS256/384/512) gibst du den passenden öffentlichen Schlüssel im PEM-Format an. Stimmt der neu berechnete Wert überein, ist das Token authentisch und unverändert; stimmt er nicht überein, wurde es verändert oder mit einem anderen Schlüssel signiert. Verifikation allein reicht jedoch nicht aus — produktiver Code sollte zusätzlich exp, nbf, iss und aud prüfen, bevor er einem Token vertraut. Füge ein Token in den Decoder dieses Tools ein, gib das Secret oder den öffentlichen Schlüssel an, und die Signatur wird kryptografisch im Browser über Web Crypto verifiziert — das Ergebnis spiegelt also eine echte Prüfung wider und keine Vermutung.

Ein Token kann vollkommen wohlgeformt sein und trotzdem aus Gründen scheitern, die nichts mit seinen Claims zu tun haben. Die häufigste Ursache ist ein falsches Secret oder ein falscher Schlüssel: Schon ein zusätzliches Leerzeichen, eine falsche Zeichenkodierung oder ein Base64-Secret, das als Klartext eingefügt wurde, verändert die Signatur und lässt die Verifikation fehlschlagen. Ein weiterer Grund ist der Algorithmus — ein RS256-Token mit einem HMAC-Secret zu verifizieren (oder umgekehrt) kann niemals übereinstimmen. Auch Zeit-Claims spielen eine Rolle: Ein abgelaufenes exp oder ein zukünftiges nbf macht das Token ungültig, selbst wenn die Signatur korrekt ist. Schließlich zerstört jede Änderung an Header oder Payload nach dem Signieren die Signatur, da sie über beide berechnet wird. Nutze dieses Tool, um das Token zu dekodieren, den Algorithmus im Header zu prüfen, die exp- und nbf-Zeitstempel zu kontrollieren und mit dem exakten Secret oder öffentlichen Schlüssel erneut zu verifizieren, um herauszufinden, welche dieser Ursachen zutrifft.