JWT Fuzzer
Inspetor
Gera variações locais de um JWT para testar tratamento de tokens; não ataca endpoints.
Cole um token válido para gerar variantes de teste.
Como usar
- Cole um token válido como base.
- As variantes são geradas automaticamente, cada uma com a alteração descrita.
- Copie uma variante e teste manualmente no seu ambiente autorizado.
Como funciona
O fuzzer decodifica o token base e produz variações locais: alg none, variações de caixa, assinatura vazia, expiração alterada, confusão de algoritmo e outras.
Cada variante mantém a estrutura de um JWT, mas altera um aspecto para testar a robustez da verificação do servidor.
As variantes que alteram o payload mantêm a assinatura original, que passa a ser inválida. É esse o ponto: descobrir se o servidor confere a assinatura.
Segurança e privacidade
- Tudo é gerado e exibido localmente; nenhuma requisição é feita.
- Nenhuma exploração é executada e nenhum endpoint é atacado.
- O token e as variantes não são salvos em favoritos, recentes, URL ou armazenamento local.
- Teste apenas sistemas que você tem autorização para avaliar.
Perguntas frequentes
Isto executa um ataque?
Não. Ele apenas gera tokens manipulados localmente. Você decide se e onde testá-los, sempre sob autorização.
Para que serve a variante alg none?
Para testar se o servidor aceita tokens sem assinatura, uma falha clássica de bibliotecas mal configuradas.
Por que a assinatura fica inválida em algumas variantes?
Porque elas alteram o payload sem re-assinar. Um servidor correto deve rejeitá-las.