JWT Aracı

İlgili Öneriler

JWT Decode, Doğrulama ve Üretim Nedir?

Kullanım senaryoları

• JWT'yi çevrimiçi decode etme: OAuth 2.0 / OIDC giriş hata ayıklaması sırasında tokenı hızlıca ayırarak Header algoritmasını ve Payload Claims'lerini incelemek
• JWT imzalarını doğrulama: gerçek zamanlı olarak token imzalarını doğrulamak için bir Secret / genel anahtar kullanın ve 401'in 'kötü imza', 'süresi dolmuş' veya 'algoritma uyuşmazlığı' olup olmadığına karar verin
• Entegrasyon sırasında test JWT'leri üretme: token üretmek için backend kodunu geçici olarak değiştirmenize gerek kalmadan, tarayıcıda bir test anahtar çiftiyle JWT yayınlayın
• PEM ↔ JWK dönüşümü: OIDC IdP size JWK verdi ama sunucu PEM istiyor (veya tam tersi) — OpenSSL betiği yazmak yerine yerinde dönüştürün
• 401 Unauthorized'ı teşhis etme: süreyi, alg-ağ geçidi eşleşmesini, anahtar eşleşmesini ve PEM formatlamasını adım adım kontrol edin
• RS256 ile PS256'yı karşılaştırma: birçok OIDC sağlayıcısı varsayılan olarak RS256 kullanırken AWS SigV4 PS256'yı tercih eder — aynı RSA anahtar çiftiyle algoritmaları değiştirin ve sonuçları karşılaştırın
• JWT iç mekanizmasını öğrenme: alg'ı değiştirin, Payload'ı düzenleyin, tarayıcıda anahtarı değiştirin ve imzanın gerçek zamanlı olarak nasıl kırıldığını izleyin — RFC okumaktan çok daha hızlı

Nasıl Kullanılır

1. Tokenı yapıştırın veya girin: JWT dizesini giriş alanına yerleştirin; araç otomatik olarak Header, Payload ve Signature'ı ayırır ve her birini biçimlendirilmiş JSON olarak görüntüler
2. Algoritmayı seçin: HS256 / RS256 / ES256 / PS256 / EdDSA arasında geçiş yapın; araç Header.alg'dan çıkarır ve herhangi bir uyuşmazlığı işaretler
3. Bir anahtar içe aktarın: bir HMAC Secret'ı, PEM dizesi veya JWK JSON'u yapıştırın; asimetrik algoritmalar için hemen bir test anahtarı almak üzere 'Anahtar çifti üret'e tıklayın
4. Doğrulayın veya yeniden imzalayın: Decode modunda genel anahtarla doğrulayın ve '✅ imza geçerli / ❌ imza geçersiz'i görün; Encode modunda Claims'leri düzenleyin ve yeni bir token üretmek için özel anahtarla imzalayın

Output Example

A real MP3 file encoded to a Data URI — copy-ready:

Header (Base64URL): eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
Payload (Base64URL): eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkphbmUgRG9lIiwiaWF0IjoxNzE2MjM5MDIyfQ
Signature: kZJfaYjK3iCkVFL5EL9zGRZ5SmD8_x2h6B5c7pVFfVGo

Özellikler

• Tek yerde Decode + Doğrulama + Üretim: bir token yapıştırarak Header/Payload/Signature'ı ayırın, imzayı doğrulamak için algoritma ve anahtarı değiştirin, yeni bir token üretmek için Claims'leri düzenleyip yeniden imzalayın — tam JWT sorun giderme zincirini kapsar
• 13 algoritmanın tümü desteklenir: HS256/HS384/HS512 (HMAC), RS256/RS384/RS512 (RSA-PKCS1-v1_5), ES256/ES384/ES512 (ECDSA), PS256/PS384/PS512 (RSA-PSS), EdDSA — OAuth 2.0, OIDC, JWS, API ağ geçitleri ve kurumsal SSO'yu kapsar
• PEM ve JWK formatları: RSA, ECDSA ve Ed25519 anahtarları PEM dizelerini (-----BEGIN PUBLIC KEY----- başlıklarıyla) ve JWK JSON'ını (kid/kty/n/e alanları) kabul eder — OIDC /.well-known/jwks.json çıktısını doğrudan yapıştırın
• Çoklu HMAC Secret girişi biçimleri: ham UTF-8 dizesi, hex baytlar veya Base64/Base64URL kodlanmış — tek tıklamayla değiştirin, böylece 'aynı görünüyor ama imza başarısız oluyor' asla olmaz
• Otomatik anahtar çifti üretimi: RSA-2048, RSA-4096, P-256, P-384 ve Ed25519 anahtar çiftleri tarayıcıda üretilir, anında test kullanımı için PEM ve JWK formatlarında sunulur
• Claims'lerin anlamsal vurgulanması: exp / iat / nbf otomatik olarak okunabilir zamana dönüştürülür, süresi dolmuş / henüz-geçerli-değil / yayımlandı durumu vurgulanır; Header'daki alg / typ / kid bireysel olarak etiketlenir
• %100 istemci tarafında, sıfır yükleme: her parse, doğrulama ve imzalama tarayıcının yerel Web Crypto API'si üzerinden çalışır — tokenlar, anahtarlar ve payload asla tarayıcıdan ayrılmaz, 'üretim tokenlarını asla rastgele çevrimiçi araçlara yapıştırma' güvenlik ilkesine uygun
• Tek tıklamayla kopyalama: Header, Payload, Signature ve yeni üretilen token bağımsız olarak kopyalanabilir; dokümantasyon, ticket ve curl komutları için

Kod Örnekleri

const crypto = require('node:crypto')

function b64url(input) {
  return Buffer.from(input)
    .toString('base64')
    .replace(/\+/g, '-')
    .replace(/\//g, '_')
    .replace(/=+$/, '')
}

function hmacSign(data, secret) {
  return b64url(crypto.createHmac('sha256', secret).update(data).digest())
}

function sign(payload, secret) {
  const header = b64url(JSON.stringify({ alg: 'HS256', typ: 'JWT' }))
  const body = b64url(JSON.stringify(payload))
  const signature = hmacSign(`${header}.${body}`, secret)
  return `${header}.${body}.${signature}`
}

function verify(token, secret) {
  const [h, p, s] = token.split('.')
  const expected = hmacSign(`${h}.${p}`, secret)
  const a = Buffer.from(s)
  const b = Buffer.from(expected)
  return a.length === b.length && crypto.timingSafeEqual(a, b)
}

const SECRET = 'my-super-secret-key'
const payload = { userId: 42, role: 'admin', exp: Math.floor(Date.now() / 1000) + 3600 }
const token = sign(payload, SECRET)

console.log(token)
console.log(verify(token, SECRET))       // true
console.log(verify(token, 'wrong-key'))  // false

<!doctype html>
<html>
  <body>
    <pre id="out"></pre>
    <script>
      const out = document.getElementById('out')

      const b64url = buf =>
        btoa(String.fromCharCode(...new Uint8Array(buf)))
          .replace(/\+/g, '-').replace(/\//g, '_').replace(/=+$/, '')

      const b64urlStr = str => b64url(new TextEncoder().encode(str))

      async function sign(payload, secret) {
        const header = b64urlStr(JSON.stringify({ alg: 'HS256', typ: 'JWT' }))
        const body = b64urlStr(JSON.stringify(payload))
        const data = new TextEncoder().encode(`${header}.${body}`)

        const key = await crypto.subtle.importKey(
          'raw',
          new TextEncoder().encode(secret),
          { name: 'HMAC', hash: 'SHA-256' },
          false,
          ['sign']
        )

        const sig = await crypto.subtle.sign('HMAC', key, data)
        return `${header}.${body}.${b64url(sig)}`
      }

      ;(async () => {
        const token = await sign({ user: 'alice', role: 'admin' }, 'browser-demo-secret')
        out.textContent = token
      })()
    </script>
  </body>
</html>

import { jwtVerify, importSPKI } from 'jose'
import { readFile } from 'node:fs/promises'

const token = 'eyJhbGciOiJSUzI1NiIsImtpZCI6IjEifQ.payload.signature'
const publicKeyPem = await readFile('public.pem', 'utf8')

try {
  const { payload, protectedHeader } = await jwtVerify(
    token,
    await importSPKI(publicKeyPem, 'RS256'),
    {
      issuer: 'https://idp.example.com',
      audience: 'my-app',
      algorithms: ['RS256'],     // critical: algorithm whitelist blocks alg:none and HS256-substitution attacks
    }
  )
  console.log('alg =', protectedHeader.alg)
  console.log('sub  =', payload.sub)
} catch (err) {
  console.error('verify failed:', err.code, err.message)
  // common: ERR_JWT_EXPIRED / ERR_JWS_INVALID / ERR_JWS_SIGNATURE_VERIFICATION_FAILED
}

import jwt

token = 'eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjM0In0.SflKxw'

# Parse (no signature check, just look at Header and Payload)
print(jwt.get_unverified_header(token))
# {'alg': 'HS256', 'typ': 'JWT'}

print(jwt.decode(token, options={'verify_signature': False}))
# {'sub': '1234'}

# Full verification
claims = jwt.decode(
    token,
    'my-super-secret-key',
    algorithms=['HS256'],
    audience='my-app',
    issuer='my-service',
)
print(claims['sub'])

5 JWT imza algoritması sınıfı karşılaştırması: hangisini seçmeli?

JWT tek bir algoritma değildir — 5 algoritma ailesi anahtar, performans, güvenlik ve uyumluluk açısından farklı ödünleşimler sunar. Önce senaryoyu değerlendirip sonra algoritmayı seçmek birçok sorundan kurtarır.

Best Practices

Sık Sorulan Sorular

Sorun Giderme

Privacy & Security

Bu JWT çalışma alanı, tarayıcının yerel Web Crypto API'si tarafından desteklenen %100 tarayıcınızda çalışır. Yapıştırdığınız token, Header, Payload, Signature, HMAC Secret, herhangi bir RSA/ECDSA özel anahtarı, üretilen herhangi bir anahtar çifti ve her imza/doğrulama hesaplaması cihazınızda kalır — asla bir sunucuya gitmezler, asla loglanmazlar, asla analiz edilmezler ve asla önbelleğe alınmazlar. Sayfa yüklendikten sonra çevrimdışı kullanılabilir. En iyi uygulama: uzun ömürlü üretim tokenlarını veya üretim özel anahtarlarını bu dahil herhangi bir çevrimiçi araca asla yapıştırmayın. Bu araç hata ayıklama, entegrasyon testi, öğrenme ve test token üretimi için uygundur — üretim secret'ları ve özel anahtarlar kontrollü, yerel bir ortamda işlenmelidir.

Supported Video Formats

Authoritative References

• IETFRFC 7519: JSON Web Token (JWT)
• IETFRFC 7515: JSON Web Signature (JWS)
• IETFRFC 7517: JSON Web Key (JWK)
• Auth0JWT.io — official debugger and library index
• OWASPOWASP JSON Web Token Cheat Sheet
• IETFJOSE working group overview