Elysia Tools
Navegação
Workflow Playbook
Crie um JWT de teste controlado ou examine uma amostra autorizada para revisar claims, algoritmo, expiração, campos sensíveis e evidências de assinatura sem confundir decodificação com verificação.
Temas
Este fluxo atende desenvolvedores, equipes de identidade e revisores que precisam de uma conclusão verificável sobre uma amostra JWT. Comece com um token sintético ou autorizado, registre a política do serviço e separe criação do fixture, inspeção estrutural e revisão de segurança. Um token continua sendo sensível mesmo quando usado apenas para depuração.
Use jwt-generator quando precisar de claims e horários previsíveis para um caso repetível. Use jwt-decoder para observar header e payload e verificar iss, aud, iat, nbf e exp. Isso não é verificação: a decodificação revela dados codificados, mas não prova quem assinou o token.
Depois use jwt-decoder-security-auditor. Ele pode indicar algoritmo, estado da assinatura, problemas de tempo e nomes de claims sensíveis; com uma chave autorizada, também pode verificar os caminhos HS256 ou RS256 suportados. Sem chave, registre o resultado como não verificado.
Compare os achados com algoritmos permitidos, issuer e audience esperados, tolerância de relógio e tratamento de expiração. Após corrigir o fixture, repita a análise apenas com dados mascarados e registre aceitar, corrigir ou bloquear. Para credenciais em sentido mais amplo, consulte auth-token-security; para chaves e assinaturas fora do escopo JWT, consulte key-generation-signature-verification.
Guia de fluxo de trabalho
Gere um JWT não produtivo com issuer, audience, subject, expiração e claims personalizados escolhidos para o caso. Mantenha o segredo somente como material de teste e registre o algoritmo pretendido.
Decodifique a amostra autorizada ou o fixture gerado e examine header e payload separadamente. Confirme os claims de tempo presentes, deixando claro que esta etapa não prova a validade da assinatura.
Envie a mesma amostra controlada ao auditor para encontrar riscos de algoritmo, estado da assinatura, datas expiradas ou futuras, ausência de issuer ou audience e nomes de claims sensíveis. Só forneça uma chave quando houver autorização.
Trate apenas os achados ligados ao objetivo do teste, execute o auditor novamente com um fixture mascarado e registre o que foi aceito, o que exige mudança na política e o que continua sem verificação por falta de chave.
Use jwt-generator para obter claims, horários e algoritmo previsíveis em um teste. Use jwt-decoder para uma amostra autorizada quando gerar outro token pudesse esconder o comportamento que precisa ser investigado.
jwt-decoder mostra o header e o payload, mas não valida a assinatura. Use jwt-decoder-security-auditor para os achados de segurança e forneça um segredo HS256 ou uma chave pública RS256 somente quando houver autorização para verificar a assinatura.
Mantenha o tipo do achado e o nome do claim quando forem úteis, mas oculte valores ligados a usuário, tenant, sessão, e-mail ou credencial. Um payload decodificado é codificado em base64url, não é conteúdo criptografado.