ID

Decode JWT: baca dan verifikasi JSON Web Token

Untuk decode JWT, tempel tokennya: alat ini menampilkan isi JSON Web Token – header, payload, dan tanda tangan, lengkap dengan penerbit, masa berlaku, dan keabsahannya dalam bahasa yang jelas. Jika Anda memasukkan secret atau kunci publik, tanda tangan pun bisa diverifikasi. Token tidak keluar dari browser Anda.

Sumber: §§ 2, 4.1 (Claims, NumericDate), IETF RFC 7519 – JSON Web Token (JWT). Diperbarui: .

Tempel token; “Bearer ” di depannya boleh. Token terdiri dari tiga bagian yang dipisah titik.

Teks Anda tetap di browser Anda – tidak dikirim, tidak disimpan, dan tidak ditambahkan ke bilah alamat.

HS256/384/512: secret sebagai teks. RS/PS/ES: kunci publik dalam PEM (“BEGIN PUBLIC KEY”) atau JWK. Kunci tetap di browser Anda.
Hanya untuk HS256/384/512: secret didekode sebelum diperiksa (lazim pada kunci yang dihasilkan otomatis). Jika tidak, teks dipakai apa adanya.
Kotak Alat SayaInput Anda hanya disimpan di browser ini.

Hasil

Status
Format JWT valid – algoritma HS256
Tanda tangan
Valid ✓ – tanda tangan cocok dengan kunci yang dimasukkan.
Header
{ "alg": "HS256", "typ": "JWT" }
Payload
{ "sub": "1234567890", "name": "Siti Rahma", "iss": "https://beispiel.example", "iat": 1516239022, "exp": 4102444800 }
Waktu (UTC)
Diterbitkan (iat): 2018-01-18T01:30:22Z Kedaluwarsa (exp): 2100-01-01T00:00:00Z – dalam 73 tahun
Claim yang dikenal
Penerbit (iss): https://beispiel.example Subjek (sub): 1234567890

Cara menghitung

JSON Web Token (JWT) membawa pernyataan (claim) antara dua pihak – biasanya setelah login, sebagai bukti bahwa “pengguna ini sudah masuk”. Terdiri dari tiga bagian yang dipisah titik: header.payload.tanda tangan (RFC 7519, RFC 7515).

Cara decode JWT

  1. Tempel token ke kolom atas (dengan atau tanpa “Bearer”).
  2. Header dan payload langsung muncul sebagai JSON yang terbaca, dengan masa berlaku dan penerbit di bawahnya.
  3. Opsional: masukkan kunci di “Secret atau kunci publik”, lalu alat ini memverifikasi tanda tangan.

Isi token

Penting: membaca bukan memverifikasi

Header dan payload hanya dikodekan base64url, tidak dienkripsi. Siapa pun yang melihat token dapat membacanya – kata sandi atau rahasia lain tidak boleh ada di dalamnya. Tanpa pemeriksaan tanda tangan, isi tidak membuktikan apa pun karena siapa saja bisa mengubahnya. Verifikasi di sini bekerja dengan secret HMAC (HS256/384/512) dan kunci publik (RS, PS, ES); token dengan alg: none tidak bertanda tangan.

Perlindungan dari algorithm confusion

Serangan yang dikenal memberi server token alg: HS256 yang ditandatangani dengan kunci publik sebagai secret. Karena itu alat ini menolak verifikasi bila kunci publik atau privat dimasukkan sebagai secret HS (RFC 8725 menyarankan agar algoritma tidak pernah diambil dari token saja).

Batasan

Pertanyaan umum

Apa itu JWT?

JSON Web Token adalah string ringkas yang aman untuk URL dengan tiga bagian (header, payload, tanda tangan). Ia membawa claim seperti ID pengguna atau masa berlaku dan sering dipakai sebagai bukti akses setelah login.

Apakah siapa pun bisa membaca isi JWT?

Ya. Header dan payload hanya dikodekan base64url, tidak dienkripsi. Hanya tanda tangan yang melindungi dari perubahan, bukan dari pembacaan. Jadi jangan simpan rahasia di dalam JWT.

Bagaimana memverifikasi tanda tangan JWT?

Di “Secret atau kunci publik”, masukkan secret untuk HS256/384/512, atau kunci publik dalam PEM atau JWK untuk RS256, PS256, atau ES256. Hasilnya muncul di “Tanda tangan”.

Amankah menempel token ke decoder online?

Decoder ini bekerja sepenuhnya di browser Anda dan tidak mengirim apa pun. Meski begitu, token yang valid adalah bukti akses. Gunakan token uji atau yang sudah kedaluwarsa bila bisa.

Apa arti exp, iat, dan nbf?

exp adalah saat token kedaluwarsa, iat saat diterbitkan, dan nbf saat token mulai berlaku. Ketiganya berupa detik sejak 1 Januari 1970 UTC.

Mengapa alat ini menulis “belum diverifikasi”?

Tanpa kunci tidak ada yang bisa dipakai untuk memeriksa tanda tangan, sehingga isi hanya dibaca. Algoritma yang tidak didukung atau format kunci yang tidak cocok juga melewati pemeriksaan.

Sumber dan dasar hukum

Diperbarui: · Kebijakan editorial

Alat terkait