Bir JWT'yi internetteki bir siteye yapıştırmak güvenli mi?

Çoğunlukla hayır. Token bir taşıyıcı kimlik bilgisidir; elinde bulunduran, süresi dolana kadar sahibini taklit edebilir. Bunun gibi tarayıcıda çalışan bir araç kullanın ya da projenizdeki bir kütüphaneyle yerelde çözün.

Sunucu olmadan JWT imzasını nasıl doğrularım?

Tarayıcıdaki yerleşik WebCrypto ile. HS256 token'ları için paylaşılan sırrı, RS256 token'ları için PEM biçimli genel anahtarı yapıştırın; kontrol yerelde yapılır. Sahibi olmadığınız bir sayfaya asla özel anahtar ya da üretim sırrı yapıştırmayın.

alg: none ne anlama gelir?

Token'ın imzasız olduğu anlamına gelir. Bu header'ı kabul eden bir kütüphane, herhangi birinin yazdığı token'ı kabul eder. Bunu kütüphane düzeyinde reddedin ve kabul ettiğiniz algoritma listesini sabitleyin.

Araç neden ES256 token'larını desteklemiyor?

Eliptik eğri token'ları ham imza çiftini ve farklı bir anahtar içe aktarma yolunu gerektirir; yarım doğru bir uygulama hiç olmamasından kötüdür. Sayfa, iddia etmek yerine bunu açıkça söyler.

Veri LaboratuvarıJWT çözücü ve doğrulayıcıAracı değiştir

JWT çözücü ve doğrulayıcı

Bir token'ın header'ını ve claim'lerini okuyun, ne zaman sona ereceğini epoch saniyesi yerine sözcüklerle görün ve imzayı kendi sırrınız ya da genel anahtarınızla doğrulayın — hepsi bu sekmede. JWT bir taşıyıcı kimlik bilgisidir: elinde bulunduran kişi sahibi adına işlem yapabilir; bu, birini başkasının sunucusuna yapıştırmamak için yeterli bir nedendir.

Doğruladığı: HS256/384/512, RS, PS
Token'ınız: Sekmeden asla çıkmaz
Anahtarlar: Asla saklanmaz veya gönderilmez

Token'ınız

Bir JWT yapıştırın; Bearer öneki olabilir ya da olmayabilir.

Algoritma

HS256

JWT

Claim'ler

payload içinde

Durum

Süresi dolmuş

last year

Süresi dolmuş — exp geçmişte.

İmza

HMAC token'ları paylaşılan sırla doğrulanır.

İmza bu sırla doğrulandı (HS256).

Paylaşılan sırSunucunuzun token'ları imzalamak için kullandığı sır. Asla saklanmaz.

Header

{
  "alg": "HS256",
  "typ": "JWT"
}

Claim'ler

Zamanlar epoch saniyesi olarak değil, yerel saatinizin okuduğu şekilde gösterilir.

Claim	Değer
`sub`Konu — token'ın kimle ilgili olduğu	4821
`name`	ريم الحلبي
`role`	editor
`scope`Verilen kapsamlar	orders:read orders:write
`iss`Yayımlayan — token'ı kimin ürettiği	https://api.frugaldomain.site
`aud`Hedef kitle — token'ın kimin için olduğu	frugal-dashboard
`iat`Yayımlanma zamanı	17500000006/15/2025, 6:06:40 PM · last year
`exp`Sona erme zamanı	17500036006/15/2025, 7:06:40 PM · last year

Çözmek, doğrulamak değildir

Herkes bir JWT'yi okuyabilir — payload base64'tür, şifreleme değil. Sunucunuzdan geldiğini kanıtlayan imzadır ve bunu doğrulamak için anahtar gerekir. Yalnızca çözen bir araç, token'ın ne iddia ettiğini söyler; iddianın doğru olup olmadığını değil.

alg "none" neden işaretlenir

Header'ında alg: none yazan bir token hiç imza taşımaz. Bu header'a saygı gösteren kütüphaneler herkesin yazabileceği bir token'ı kabul eder; bu bilinen en eski JWT saldırısıdır ve hâlâ sahada görülür. Bu sayfa onu sessizce çözmek yerine hata olarak işaretler.

Asla özel anahtar yapıştırmayın

RSA doğrulaması yalnızca genel yarıyı gerektirir ve o zaten yayımlanmak üzere tasarlanmıştır. Meşru hiçbir şey, kontrol etmediğiniz bir web sayfasına özel anahtar ya da HMAC sırrı yapıştırmanızı istemez — bu sayfa da dahil; bu yüzden kontrolün tamamı yerelde çalışır ve sayfa bunu söyler.

Sıkça sorulan sorular

Bir JWT'yi internetteki bir siteye yapıştırmak güvenli mi?: Çoğunlukla hayır. Token bir taşıyıcı kimlik bilgisidir; elinde bulunduran, süresi dolana kadar sahibini taklit edebilir. Bunun gibi tarayıcıda çalışan bir araç kullanın ya da projenizdeki bir kütüphaneyle yerelde çözün.
Sunucu olmadan JWT imzasını nasıl doğrularım?: Tarayıcıdaki yerleşik WebCrypto ile. HS256 token'ları için paylaşılan sırrı, RS256 token'ları için PEM biçimli genel anahtarı yapıştırın; kontrol yerelde yapılır. Sahibi olmadığınız bir sayfaya asla özel anahtar ya da üretim sırrı yapıştırmayın.
alg: none ne anlama gelir?: Token'ın imzasız olduğu anlamına gelir. Bu header'ı kabul eden bir kütüphane, herhangi birinin yazdığı token'ı kabul eder. Bunu kütüphane düzeyinde reddedin ve kabul ettiğiniz algoritma listesini sabitleyin.
Araç neden ES256 token'larını desteklemiyor?: Eliptik eğri token'ları ham imza çiftini ve farklı bir anahtar içe aktarma yolunu gerektirir; yarım doğru bir uygulama hiç olmamasından kötüdür. Sayfa, iddia etmek yerine bunu açıkça söyler.