JWT Claim Builder & Payload-Generator (RFC 7519 Standards) Entwicklerhandbuch

JWT Claim Builder & Payload-Generator (RFC 7519 Standards) Entwicklerhandbuch

Erstellen Sie standardkonforme RFC 7519- und benutzerdefinierte JWT-Claims mit Zeitstempel-Rechnern für exp, nbf, iat, jti und Audience-Tags.

Presets label
Registered claims
7 / 7 configured
StringOrURI
Principal ID
Target APIs / Clients
https://api.toolsaa.com/v1https://billing.toolsaa.com
In 1h
Quick Lifespan:
Custom claims
Templates:
7 RFC•2 Custom
14 Lines•305 Bytes
{
  "iss": "https://auth.toolsaa.com",
  "sub": "usr_89f72b10",
  "aud": [
    "https://api.toolsaa.com/v1",
    "https://billing.toolsaa.com"
  ],
  "exp": 1792178359,
  "nbf": 1792174759,
  "iat": 1792174759,
  "jti": "f81d4fae-7dec-11d0-a765-00a0c91e6bf6",
  "scope": "read:profile write:workspace admin:billing",
  "client_id": "spa_client_prod_442"
}
RFC 7519 Ready
Base64: 407 chars
Stat status
7 / 7 Claims

Standard iss, sub, aud, exp, nbf, iat, jti validation

Stat lifespan
In 1h

Second-level Unix epoch precision

Stat payload size
305 Bytes

~3.7% of 8KB HTTP header buffer

Client-Side Processing

High-performance processing executed entirely in browser memory.

Zero Server Upload Privacy

All data payloads remain strictly local with zero external server communication.

Production Ready Export

Clean, optimized output formats ready for immediate deployment.

Technische Referenz & Architektur-Leitfaden

JWT Claim Builder & Payload-Generator (RFC 7519 Standards) Entwicklerhandbuch — Referenz-Leitfaden

Erstellen Sie standardkonforme RFC 7519- und benutzerdefinierte JWT-Claims mit Zeitstempel-Rechnern für exp, nbf, iat, jti und Audience-Tags.

Wichtige Parameter & Steuerelemente

iss (Issuer)string

Identifiziert den Aussteller des JWT (z. B. Authentifizierungs-Domain oder IdP-URL).

Standard: https://auth.example.com
sub (Subject)string

Identifiziert das Subjekt des Tokens, meist eine persistente Benutzer-UUID oder ein Service-Account-Identifier.

Standard: usr_94b3a8c1-5e2b
aud (Audience)string | string[]

Bestimmt die Ziel-Empfänger des Tokens. Der Ressourcen-Server muss verifizieren, dass seine Kennung in dieser Claim enthalten ist.

Standard: https://api.example.com/v1
exp (Expiration Time)integer (Unix-Zeitstempel in Sekunden)

Zeitpunkt, nach dessen Verstreichen das JWT zwingend zurückgewiesen werden muss (RFC 7519 NumericDate in Sekunden).

Standard: 1776435600
jti (JWT ID)string

Eindeutiger Bezeichner für das JWT zur Erkennung von Replay-Angriffen und Verwaltung von Token-Sperrlisten.

Standard: b9c8d6e4-4a2f-48d1-912b-3e5f7a1c8d9e

Profi-Tipps & Best Practices

Sekunden statt Millisekunden verwenden

Gemäß RFC 7519 verlangt NumericDate Sekunden seit der Epoche. Wer JavaScript 'Date.now()' ohne Division durch 1000 verwendet, erzeugt Tokens, die erst im Jahr 53000 ablaufen oder von Bibliotheken wie jsonwebtoken sofort verworfen werden.

Header- und Cookie-Größe minimieren

JWTs werden mit jeder HTTP-Anfrage im Authorization-Header übertragen. Vermeiden Sie umfangreiche Berechtigungsmatrizen oder Profildaten im Payload, um das 8KB-Header-Limit von Nginx und Cloudflare nicht zu überschreiten.

Clock-Skew-Toleranz bei der Verifizierung einplanen

In verteilten Systemen weichen Serveruhren trotz NTP oft um wenige Sekunden ab. Konfigurieren Sie in Ihrer Validierungs-Middleware stets einen Puffer von 30 bis 60 Sekunden (clockTolerance), um False Positives zu vermeiden.

Häufige Fallstricke & Fehlerbehebung

Validierung schlägt sofort mit 'TokenExpiredError' fehl

Prüfen Sie, ob 'exp' in Millisekunden übermittelt wurde. Berechnen Sie 'exp' mit 'Math.floor(Date.now() / 1000) + ttl' und aktivieren Sie auf dem Server eine Clock-Tolerance von 60 Sekunden.

Signatur ist gültig, aber API meldet 'jwt audience invalid' (401/403)

Der Ressourcen-Server erwartet seine exakte URI oder Client-ID im 'aud'-Feld. Gleichen Sie den Wert ab oder übergeben Sie bei mehreren Ziel-APIs ein Array von Strings.

Häufig gestellte Fragen (FAQ)

Was unterscheidet Registered, Public und Private Claims nach RFC 7519?▼

Registrierte Claims (iss, sub, aud, exp, nbf, iat, jti) sind von der IANA für standardisierte Sicherheitsprüfungen vordefiniert. Öffentliche Claims sind kollisionsresistent in der IANA-Registry registriert oder durch URIs definiert. Private Claims sind anwendungsspezifische Felder (z. B. 'role', 'tenant_id') zwischen Client und Server.

Warum definiert RFC 7519 Zeitstempel in Sekunden statt Millisekunden?▼

Die Norm folgt dem POSIX-Standard, um Datenmengen in HTTP-Headern kompakt zu halten und plattformübergreifend kompatibel zu bleiben.

Dürfen sensible Passwörter oder Geheimnisse in einem JWT Payload gespeichert werden?▼

Nein. Reguläre signierte JWTs (JWS) sind lediglich Base64URL-kodiert und können von jedem eingesehen werden. Für vertrauliche Nutzdaten muss JWE (JSON Web Encryption, RFC 7516) eingesetzt werden.

Wie verhindert der 'jti'-Claim Replay-Attacken?▼

Jedes Token erhält eine kryptografische UUID. Der Server speichert diese ID bei der Einlösung bis zum Ablauf von 'exp' in einem schnellen Speicher (z. B. Redis). Wird dasselbe 'jti' erneut vorgelegt, wird die Anfrage sofort abgewiesen.

Verwandte Werkzeuge & Dienstprogramme

Alle Werkzeuge →
WireGuard Schlüsselpaar- & Peer-Konfigurationsgenerator Entwickler-Handbuchsecurity

Erstellen Sie WireGuard Curve25519-Schlüsselpaare, Preshared Keys (PSK) und Client-/Server-Peer-Konfigurationsblöcke sicher direkt im Browser.

Werkzeug öffnen→
Apache & Nginx htpasswd Generator (Bcrypt, APR1-MD5, SHA-1) – Entwickler-Handbuchsecurity

Erzeugen Sie sichere HTTP-Basic-Auth-Passwörter und .htpasswd-Einträge mit Bcrypt, Apache MD5 (APR1) und SHA-1.

Werkzeug öffnen→
JWT-Token-Decoder & Security-Inspectorsecurity

JSON Web Tokens dekodieren, Header- und Payload-Claims prüfen, Ablaufzeit berechnen und Integrität lokal verifizieren.

Werkzeug öffnen→
Kryptografischer Passwort- & Passphrasen-Generatorsecurity

Erzeugen Sie kryptografisch sichere Passwörter mit hoher Entropie, einprägsame Diceware-Passphrasen, PINs und API-Token mit nativer Web Crypto CSPRNG nach NIST SP 800-63B.

Werkzeug öffnen→
Kryptografischer Hash-Generator & Prüfsummen-Rechnersecurity

Berechnen Sie sofort SHA-256, SHA-512, MD5, SHA-1, SHA-3, Keccak und CRC32 lokal im Browser mit 100% nativer Web Crypto API Sicherheit.

Werkzeug öffnen→
JSON Web Token (JWT) Debugger & Signatur-Verifizierersecurity

Dekodieren, untersuchen und verifizieren Sie HMAC- und RSA-Signaturen 100% lokal im Browserspeicher via Web Crypto API. Null Cloud-Übertragung.

Werkzeug öffnen→