Decode JWT
JWT terdiri dari tiga bagian yang dipisahkan titik: header, payload, dan signature. Alat ini mendekode header dan payload serta menampilkan exp, iat, dan nbf dalam UTC dan waktu lokal. Signature tidak diverifikasi.
Cara memakai
- Tempel token di kotak input. Awalan Bearer, tanda kutip, dan baris baru diabaikan.
- Baca header dan payload sebagai JSON yang rapi. Tekan Salin untuk menyalin salah satunya.
- Periksa lencana status dan klaim waktu. exp, iat, dan nbf ditampilkan dalam UTC dan waktu lokal, lengkap dengan berapa lama yang lalu atau berapa lama lagi.
- Tidak punya token? Tekan Muat contoh untuk mencoba token buatan.
Cara menghitung
JWT terdiri dari tiga bagian yang dipisah titik: header, payload, dan signature. Header dan payload adalah teks JSON yang dienkode base64url, yaitu base64 dengan - dan _ menggantikan + dan /, tanpa padding =. Alat ini membalik enkode tersebut, membaca byte sebagai UTF-8, lalu mencetak JSON dengan indentasi.
exp, iat, dan nbf adalah jumlah detik sejak 1 Januari 1970 UTC. exp adalah waktu token kedaluwarsa, iat waktu diterbitkan, dan nbf waktu paling awal token berlaku. Lencana mengikuti aturan standar: token kedaluwarsa jika waktu sekarang sama dengan atau setelah exp, dan belum berlaku jika waktu sekarang sebelum nbf. Waktu sekarang diambil dari jam perangkat Anda.
Signature ditampilkan apa adanya dari token. Alat ini tidak memverifikasinya. Decode hanya butuh token, tetapi memeriksa signature butuh secret atau public key, dan itu sebaiknya hanya dilakukan oleh server Anda.
Klaim yang umum
| Klaim | Arti |
|---|---|
| iss | Issuer: pihak yang membuat token |
| sub | Subject: siapa yang dimaksud token, sering berupa ID pengguna |
| aud | Audience: pihak tujuan token |
| exp | Waktu kedaluwarsa, dalam detik sejak 1970 UTC |
| nbf | Not before: token tidak berlaku sebelum waktu ini |
| iat | Issued at: waktu token dibuat |
| jti | Token ID: pengenal unik token ini |
Pertanyaan umum
Apakah tanda tangan diverifikasi?
Tidak. Alat ini hanya men-decode header dan payload. Siapa pun bisa men-decode JWT dan siapa pun bisa membuat JWT dengan isi apa saja, jadi jangan percaya token hanya karena bisa di-decode. Verifikasi signature di server dengan key yang benar.
Apakah token saya dikirim ke suatu tempat?
Tidak. Decode berjalan di browser dan tidak ada yang diunggah. Meski begitu, perlakukan token asli seperti password: jangan tempel token produksi yang masih aktif ke alat yang tidak Anda percaya.
Kenapa muncul Kedaluwarsa padahal token tadi masih jalan?
Lencana membandingkan exp dengan jam perangkat ini. Jika jam perangkat tidak tepat atau server memberi toleransi selisih waktu, keduanya bisa berbeda untuk sementara.
Apa arti alg none?
Itu menandai token tanpa pengaman dan tanpa signature. Server harus menolaknya kecuali memang sengaja menerima token tanpa tanda tangan, yang jarang terjadi. Alat ini menampilkan peringatan saat menemukannya.
Apakah payload dienkripsi?
Tidak. JWT bertanda tangan biasa hanya dienkode, jadi siapa pun yang memegangnya bisa membaca payload. Jangan taruh rahasia di dalamnya. Token terenkripsi (JWE) punya lima bagian dan tidak bisa dibaca alat ini.