Lewati ke konten
Tipamedia

Developer & Keamanan

JWT Decoder dan Verifier

Tempel token untuk melihat isinya dan apakah sudah kedaluwarsa. Isi rahasia atau kunci publik bila ingin memastikan tanda tangannya asli. Semua berjalan lokal.

Gratis · tanpa akun · diproses di browser Anda · diperbarui

Gunakan JWT Decoder

Token diuraikan di browser Anda dan tidak dikirim ke server mana pun. Meski begitu, hindari menempel token produksi yang masih aktif di komputer bersama.

Awalan "Bearer " dan tanda kutip dibuang otomatis.

Tempel token JWT untuk melihat header, payload, dan status waktunya.

Cara menggunakan JWT Decoder

  1. Tempel token JWT (awalan Bearer boleh ikut).

  2. Baca header, payload, klaim waktu, dan peringatan keamanan.

  3. Opsional: isi secret (HS256/384/512) atau kunci publik PEM/JWK (RS, PS, ES) untuk memverifikasi tanda tangan.

Mendekode bukan memverifikasi

Header dan payload JWT hanya dikodekan base64url, bukan dienkripsi, sehingga siapa pun yang memegang token bisa membacanya; jangan menaruh data rahasia di payload. Yang menjamin keaslian adalah tanda tangan: server harus memverifikasinya dengan kunci yang benar dan menolak algoritma none. Status berlaku atau kedaluwarsa di alat ini hanya berdasarkan klaim waktu, bukan bukti token asli.

Klaim waktu iat (diterbitkan), nbf (berlaku mulai), dan exp (kedaluwarsa) berupa detik Unix; alat ini menampilkannya dalam WIB dan UTC serta waktu relatif. Nilai dalam milidetik ditandai karena JWT memakai detik.

Verifikasi tanda tangan

HS256/384/512 memakai satu rahasia bersama. RS256/384/512 (RSA PKCS#1), PS256/384/512 (RSA-PSS), dan ES256/384/512 (ECDSA) memakai pasangan kunci; masukkan kunci publik dalam bentuk PEM "BEGIN PUBLIC KEY" atau JWK. Verifikasi memakai Web Crypto bawaan browser, tanpa mengirim apa pun. Token terenkripsi (JWE, lima bagian) tidak dapat didekode tanpa kunci dekripsi dan EdDSA belum didukung.

Waspadai token produksi aktif: meski diproses lokal, menempelkannya di komputer bersama atau merekamnya di tangkapan layar tetap berisiko. Rotasi atau cabut token bila terlanjur terekspos.

Pertanyaan tentang JWT Decoder

Apakah aman menempel JWT di sini?

Token diproses di browser Anda dan tidak dikirim ke server. Meski begitu, hindari token produksi yang masih aktif di perangkat bersama dan jangan membagikannya.

Apakah JWT terenkripsi?

JWT biasa (JWS) hanya ditandatangani, tidak dienkripsi: isinya bisa dibaca siapa saja. Hanya JWE yang terenkripsi dan tidak bisa didekode di sini.

Apa arti exp, iat, dan nbf?

exp adalah waktu kedaluwarsa, iat waktu penerbitan, dan nbf waktu mulai berlaku, semuanya dalam detik sejak 1 Januari 1970 UTC.

Mengapa verifikasi bilang tanda tangan tidak valid?

Kunci atau secret salah, token telah diubah, atau kunci tidak sesuai algoritma (mis. kunci publik RSA untuk token HS256). Untuk HS, secret dibaca sebagai teks UTF-8 apa adanya.

Tools lain yang mungkin berguna

Semua tools Developer & Keamanan

Butuh lebih dari sekadar tools?

Kami membangun website, aplikasi, dan sistem kustom untuk bisnis Anda.

Tools ini hanya sebagian kecil dari yang bisa dikerjakan Tipamedia. Ceritakan kebutuhan Anda, kami bantu merumuskan langkah berikutnya.

Diskusikan lewat WhatsAppLihat layanan kami