Dekoder JWT

Baca JWT apa pun tanpa mengirimnya ke mana pun

Tempel JSON Web Token dan dekoder akan memecahnya menjadi tiga bagian: header (algoritma yang menandatanganinya), payload (klaim: siapa penggunanya, apa yang boleh diakses, dan kapan token kedaluwarsa), serta tanda tangan. JSON-nya dirapikan agar bisa dibaca sekilas.

Klaim waktu diubah menjadi tanggal nyata. exp, iat, dan nbf ditampilkan dalam zona waktu Anda, dalam UTC, dan sebagai “20 menit lagi” atau “3 hari lalu”, dan status langsung memberi tahu apakah token masih berlaku, sudah kedaluwarsa, atau belum berlaku.

Token sering memberi akses ke akun sungguhan, jadi semuanya didekode di browser Anda. Token tidak pernah diunggah ke server kami, dicatat, atau disimpan. Ini lebih aman daripada menempelkannya ke chatbot atau situs yang mengirimnya ke server.

Cara mendekode JWT

1. Salin token dari aplikasi Anda, header Authorization, cookie, atau developer tools di browser.
2. Tempel ke dalam kotak. Awalan Bearer, tanda kutip, spasi, dan baris baru dihapus otomatis.
3. Baca ringkasannya: status, algoritma, penerbit, subjek, audiens, serta waktu terbit dan kedaluwarsa yang tepat.
4. Gunakan tombol salin untuk memindahkan JSON header atau payload yang sudah dirapikan ke laporan bug atau catatan Anda.

Arti klaim yang umum

• exp (expiration time): setelah saat ini token harus ditolak.
• iat (issued at): kapan token dibuat.
• nbf (not before): token tidak boleh diterima sebelum saat ini.
• iss (issuer): siapa yang membuat token, sering kali URL server login Anda.
• sub (subject): siapa yang dimaksud token, biasanya ID pengguna.
• aud (audience): aplikasi atau API tujuan token.
• alg dan kid (di header): algoritma tanda tangan, misalnya HS256 atau RS256, dan ID kunci yang menandatanganinya.

Tanggal JWT adalah nilai NumericDate: jumlah detik sejak 1 Januari 1970 UTC. Dekoder mengubahnya untuk Anda, jadi tidak perlu konverter timestamp terpisah.

Tips debugging

• Jika API membalas 401 tepat setelah login, periksa exp dan nbf lebih dulu. Jam server yang terlalu cepat atau lambat beberapa menit sering jadi penyebabnya; sebagian besar library memberi sedikit toleransi.
• Tanggal puluhan ribu tahun di masa depan berarti nilainya ditulis dalam milidetik, bukan detik. Dekoder akan memperingatkan Anda.
• Bandingkan aud dan iss dengan yang diharapkan API Anda. Token yang diterbitkan untuk aplikasi atau lingkungan lain (staging, bukan produksi) sering menyebabkan error “token tidak valid”.
• Header dengan alg bernilai none berarti token tidak ditandatangani. Jangan pernah menerima token seperti itu di produksi.

Batasan dan hal yang perlu diketahui

• Mendekode bukan memverifikasi. Siapa pun bisa membuat token dengan klaim apa saja; hanya pemeriksaan tanda tangan dengan kunci yang benar di server Anda yang membuktikan keasliannya. Alat ini tidak memverifikasi tanda tangan.
• Payload JWT biasa hanya dikodekan, tidak dienkripsi. Siapa pun yang memegang token bisa membacanya, jadi jangan pernah menaruh kata sandi atau rahasia di klaim.
• Token terenkripsi (JWE, lima bagian) tidak bisa dibaca tanpa kunci, jadi hanya header-nya yang ditampilkan.
• Angka ditampilkan persis seperti di token, jadi ID numerik yang panjang tidak pernah dibulatkan.

Pertanyaan umum

Apakah aman menempelkan token asli di sini?

Ya. Dekode berjalan dengan JavaScript di browser Anda dan token tidak pernah dikirim ke server kami. Tetap perlakukan token aktif seperti kata sandi: jangan dibagikan di screenshot atau chat, dan biarkan kedaluwarsa.

Bisakah alat ini memberi tahu apakah token valid?

Alat ini menunjukkan apakah token sudah kedaluwarsa atau belum berlaku berdasarkan tanggalnya. Alat ini tidak bisa memastikan tanda tangan asli, karena untuk itu diperlukan kunci rahasia atau publik yang seharusnya hanya dimiliki server Anda.

Mengapa token saya tampak kedaluwarsa padahal baru saya terima?

Periksa jam server yang menerbitkannya dan pastikan exp dalam detik, bukan milidetik. Jika iat juga beberapa jam di masa lalu, kemungkinan jam server salah.

Apa bedanya dekoder JWT dengan dekoder Base64?

JWT adalah tiga bagian berkode Base64URL yang digabung dengan titik. Dekoder Base64 membaca satu bagian sekaligus, sedangkan dekoder JWT memecah token untuk Anda, memahami alfabet aman-URL dan padding yang hilang, serta mengubah tanggal menjadi waktu yang mudah dibaca.

Apakah bisa dipakai offline?

Ya. Setelah halaman dimuat, Anda bisa memutus internet dan tetap mendekode token.

Alat terkait

• Base64 decoder: Decode string Base64 kembali menjadi teks yang bisa dibaca secara instan. Periksa header auth, token, payload API, dan isi email. Gratis.
• Validator & beautifier JSON: Validasi dan rapikan JSON secara online. Temukan kesalahan sintaks dan ubah JSON minified menjadi kode berindentasi yang mudah dibaca. Gratis.
• URL decoder: Decode URL dan query string yang ter-encode kembali menjadi teks yang bisa dibaca. Ubah %20, %26, dan %C3%A9 menjadi karakter biasa. Gratis.
• Base64 encoder: Encode teks atau string apa pun ke Base64 secara instan. Berguna untuk data URI, header HTTP Basic auth, email, dan API. Base64 encoder online gratis.