Dekoder JWT
Decode JWT untuk membaca header, klaim payload, dan tanda tangannya, dengan exp, nbf, dan iat ditampilkan sebagai tanggal serta status kedaluwarsa. Berjalan lokal, tanpa upload.
Awalan "Bearer " dihapus otomatis.
{
"alg": "HS256",
"typ": "JWT"
}{
"sub": "1234567890",
"name": "John Doe",
"iat": 1516239022
}| Algoritma | HS256 |
|---|---|
| Tanda tangan | SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c |
Apa itu Dekoder JWT?
Dekoder JWT ini memecah JSON Web Token menjadi header, payload, dan tanda tangan, lalu menampilkan JSON-nya dengan rapi. Klaim waktu (exp, nbf, iat) diubah menjadi tanggal UTC yang mudah dibaca beserta waktu relatifnya, dan lencana status memberi tahu apakah token sudah kedaluwarsa, belum berlaku, atau tanpa kedaluwarsa. Alat ini hanya men-decode – tidak memverifikasi tanda tangan.
Cara menggunakan Dekoder JWT
- Tempel token (awalan
Bearerdihapus secara otomatis). - Baca header yang sudah di-decode (algoritma, tipe, ID kunci) dan klaim payload.
- Periksa status kedaluwarsa serta tanggal exp/nbf/iat.
- Gunakan Verifikator JWT dengan kunci yang benar sebelum memercayai klaim apa pun.
Contoh
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c
Header {"alg": "HS256", "typ": "JWT"} · payload {"sub": "1234567890", "name": "John Doe", "iat": 1516239022} · status: no expiration Kapan menggunakan Dekoder JWT
Gunakan untuk men-debug autentikasi: periksa klaim, scope, audiens, atau masa berlaku yang dibawa sebuah token. Jangan menganggap klaim hasil decode dapat dipercaya – siapa pun bisa membuat token dengan isi sembarang. Token terenkripsi (JWE, lima bagian) tidak bisa di-decode tanpa kunci.
Cara kerja Dekoder JWT
JWS ringkas terdiri dari tiga bagian Base64URL yang dipisahkan titik. Dua bagian pertama di-decode (Base64URL → byte → UTF-8) dan diurai sebagai JSON; bagian ketiga ditampilkan apa adanya karena berupa data tanda tangan biner. Klaim waktu adalah nilai NumericDate (detik sejak 1970-01-01 UTC) dan dibandingkan dengan jam perangkat Anda. Tidak ada yang keluar dari browser Anda.
Kasus Penggunaan Umum
- Mencari tahu mengapa API mengembalikan 401: apakah token kedaluwarsa atau untuk audiens yang salah?
- Membaca peran atau scope di dalam access token.
- Memeriksa kid di header untuk melihat kunci penandatangan mana yang dipakai.
- Memeriksa ID token dari penyedia OpenID Connect.
Catatan Keamanan
Decode hanya terjadi di browser Anda. Perlakukan JWT seperti kata sandi: siapa pun yang memegang token valid bisa memakainya sampai kedaluwarsa.
Pertanyaan Umum
Apakah aman menempel token produksi?
Token di-decode secara lokal dan tidak pernah dikirim ke mana pun. Meski begitu, token yang valid adalah kredensial – cabut token tersebut jika Anda pernah membagikannya di tempat yang tidak Anda kendalikan.
Mengapa decode tidak sama dengan verifikasi?
Payload hanya di-encode dengan Base64URL, tidak dienkripsi. Verifikasi memerlukan pemeriksaan tanda tangan dengan secret atau kunci publik.
Apa arti exp, nbf, dan iat?
exp adalah waktu kedaluwarsa, nbf berarti "not before" (token tidak berlaku sebelum waktu itu), dan iat adalah waktu token diterbitkan – semuanya dalam detik sejak epoch Unix.