Decoder JWT
Decode header dan payload JSON Web Token. Token tidak pernah dikirim ke mana pun
Memuat alat…
Men-decode JSON Web Token: tempel token untuk melihat header dan payload sebagai JSON, dengan klaim waktu seperti masa kedaluwarsa diubah menjadi tanggal yang mudah dibaca. Gunakan untuk memeriksa isi token dan apakah token sudah kedaluwarsa saat login atau panggilan API gagal.
Cara pakai
- Tempel JWT yang diawali eyJ di "Token". Awalan "Bearer " diabaikan.
- Lihat JSON di "Header" dan "Payload" serta bagian "Tanda tangan".
- Di tabel "Klaim", baca waktu penerbitan dan kedaluwarsa serta status seperti "Kedaluwarsa" atau "Berlaku".
- Untuk memeriksa apakah token bisa dipercaya, masukkan secret atau public key di "Verifikasi tanda tangan (opsional)".
Cara kerja
- JWT memiliki tiga bagian yang dipisahkan titik: header.payload.signature. Dua bagian pertama adalah JSON yang di-encode dengan Base64url, jadi bisa dibaca tanpa kunci. exp, nbf dan iat adalah jumlah detik sejak 1 Januari 1970 (UTC).
- Verifikasi memakai Web Crypto untuk HS, RS, PS dan ES (256/384/512), serta EdDSA jika browser mendukungnya. Public key bisa diberikan sebagai PEM, sertifikat, JWK, atau JWKS. Token dengan alg "none" mendapat peringatan.
- Decode dan verifikasi berjalan di browser Anda; token dan kunci tidak disimpan atau dikirim. Meski begitu, lebih baik gunakan token uji atau token yang sudah kedaluwarsa daripada token dari sistem yang sedang berjalan.
Pertanyaan umum
- Bagaimana cara mengecek kapan JWT kedaluwarsa?
- Tempel tokennya. "Kedaluwarsa pada" (exp) di tabel "Klaim" menampilkan tanggal dan waktunya, dan kolom status menampilkan sisa waktu atau "Kedaluwarsa".
- Apakah JWT terenkripsi?
- JWT biasa (JWS) ditandatangani, bukan dienkripsi, jadi siapa pun bisa membaca isinya. Jangan masukkan kata sandi atau rahasia lain ke dalamnya. Token dengan 5 bagian adalah JWE terenkripsi dan tidak bisa dibaca tanpa kunci.
- Apakah decode membuktikan bahwa token itu asli?
- Tidak. Siapa pun bisa mengubah isinya, jadi hanya tanda tangan yang diperiksa dengan kunci yang benar yang bisa dipercaya. Masukkan kunci di "Verifikasi tanda tangan (opsional)" untuk melihat "Tanda tangan valid" atau "Tanda tangan tidak valid".