Verifikator Tanda Tangan JWT
Verifikasi tanda tangan JSON Web Token dengan secret HMAC, kunci publik PEM, sertifikat X.509, JWK, atau JWKS, serta periksa exp, nbf, issuer, dan audience secara lokal.
HS256Gunakan byte acak minimal sebanyak ukuran hash (32 byte untuk HS256). Kata sandi pendek bisa dibobol secara brute force secara offline.
Apa itu Verifikator JWT?
Alat ini memverifikasi bahwa JSON Web Token ditandatangani dengan kunci yang Anda berikan dan tidak diubah, serta bahwa klaim waktunya berlaku saat ini. Alat ini menerima secret bersama untuk HS256/384/512, atau kunci publik PEM, sertifikat X.509, JWK, maupun JWKS untuk token RS, PS, ES, dan EdDSA, dengan pemeriksaan issuer dan audience opsional serta toleransi jam.
Cara menggunakan Verifikator JWT
- Tempel token; algoritma dari header-nya akan ditampilkan.
- Masukkan secret (HS*) atau kunci publik, sertifikat, JWK, atau JWKS.
- Jika perlu, atur toleransi jam, penerbit yang diharapkan, dan audiens yang diharapkan, atau centang "Periksa tanda tangan saja".
- Tekan Verifikasi dan baca hasilnya; jika berhasil, payload dan klaim waktu akan ditampilkan.
Contoh
The jwt.io sample token (HS256) with secret your-256-bit-secret
✓ Signature verified with HS256 and the time claims are valid.
Dengan secret wrong-secret, hasilnya: Signature verification failed.
Kapan menggunakan Verifikator JWT
Gunakan untuk memastikan token diterbitkan oleh server yang diharapkan, men-debug error "invalid signature", atau menguji rotasi kunci. Tanpa kunci yang benar, tidak ada alat yang bisa memverifikasi JWT. Hindari menempel secret produksi ke situs web mana pun; lebih baik gunakan kunci publik, yang aman untuk dibagikan.
Cara kerja Verifikator JWT
Verifikasi berjalan secara lokal dengan library jose dan Web Crypto. Hanya algoritma yang disebutkan di header token yang diizinkan, dan alg "none" selalu ditolak. Token HMAC diverifikasi dengan byte UTF-8 (atau hasil decode Base64) dari secret; token asimetris dengan SPKI, X.509, JWK yang diimpor, atau JWKS lokal (dicocokkan berdasarkan kid). Setelah tanda tangan, exp dan nbf dibandingkan dengan jam perangkat Anda (ditambah toleransi), dan iss/aud dibandingkan jika Anda mengisinya. Setiap kegagalan dilaporkan dengan alasan yang spesifik.
Kasus Penggunaan Umum
- Memeriksa apakah token ditandatangani dengan kunci saat ini atau kunci lama setelah rotasi.
- Men-debug alasan gateway menolak token (kedaluwarsa vs. audiens salah vs. tanda tangan buruk).
- Memverifikasi ID token OpenID Connect terhadap JWKS penyedia.
- Memastikan token tidak dimanipulasi.
Catatan Keamanan
Verifikasi terjadi di browser Anda; kunci dan token tidak diunggah. Kunci publik aman untuk dibagikan, secret tidak.
Pertanyaan Umum
Bisakah alat ini memverifikasi token tanpa kunci?
Tidak. Tanda tangan hanya bisa diperiksa dengan secret (HMAC) atau kunci publik penerbit. Decode tanpa kunci tidak membuktikan apa pun.
Dari mana saya mendapatkan kunci publik?
Penyedia OpenID Connect mempublikasikan JWKS di jwks_uri yang tercantum di /.well-known/openid-configuration. Tempel JSON-nya di sini.
Mengapa tanda tangan yang valid tetap gagal?
Token mungkin sudah kedaluwarsa, belum berlaku (nbf), atau memiliki issuer atau audience yang berbeda dari yang Anda masukkan. Pesannya memberi tahu pemeriksaan mana yang gagal.