Decoder JWT
Decode JSON Web Token: header, payload, tanggal terbit dan kedaluwarsa yang mudah dibaca. Token dibaca di browser dan tidak pernah dikirim.
- Gratis
- Tanpa daftar
- Tanpa unggah file
- Windows, Mac, Android, iPhone
Memuat alat…
Tentang alat ini
Tempel JWT (dengan atau tanpa “Bearer”) untuk membaca header, payload, serta tanggal iat, nbf, dan exp dalam waktu lokal. Tidak seperti banyak situs, token tidak pernah dikirim: Anda bisa mendekode token produksi tanpa risiko bocor.
Kapan menggunakannya
Men-debug autentikasi
API mengembalikan 401 atau 403? Decode token yang Anda kirim untuk memastikan belum kedaluwarsa, menargetkan audiens yang benar (aud), berasal dari penerbit yang benar (iss), dan berisi peran atau izin yang diharapkan.
Memahami penyedia identitas
Token dari Auth0, Keycloak, Firebase, Azure AD, atau Google masing-masing punya kolom sendiri. Membacanya membantu mengonfigurasi aplikasi atau memetakan informasi pengguna.
Memeriksa masa berlaku token
Dengan membandingkan iat dan exp, Anda melihat masa berlaku sebenarnya dari access token, berguna untuk mengatur pembaruan otomatis atau menjelaskan logout yang tak terduga.
Cara menggunakan
- Tempel token.
- Baca header dan payload yang sudah didekode.
- Periksa tanggal kedaluwarsa.
Cara kerjanya
JWT bertanda tangan terdiri dari tiga bagian dipisahkan titik: header (algoritma tanda tangan), payload (“claims”), dan tanda tangan. Dua bagian pertama adalah JSON yang di-encode Base64URL: alat ini mendekode dan memformatnya. Awalan “Bearer” dihapus otomatis.
Tanggal iat, nbf, dan exp adalah timestamp Unix dalam detik; semuanya diubah ke tanggal dan jam lokal, dengan keterangan “kedaluwarsa” atau “masih berlaku”. Tanda tangan tidak diverifikasi karena memerlukan kunci server: decode menunjukkan isi token, bukan keasliannya. Tidak ada token yang dikirim ke mana pun.
Tips untuk hasil terbaik
- Jangan tempel token produksi di situs yang mengirimnya ke server; di sini decode tetap di browser Anda.
- Jangan pernah memasukkan informasi rahasia di payload JWT: siapa pun bisa membacanya.
- Di server, selalu verifikasi tanda tangan, algoritma yang diharapkan, exp, aud, dan iss sebelum memercayai token.
- Buat access token berumur pendek (beberapa menit) dan gunakan refresh token untuk memperpanjang sesi.
- Jika token tampak kedaluwarsa terlalu cepat, bandingkan jam server dengan jam perangkat: selisih beberapa menit sudah cukup.
Masalah umum dan solusinya
Diharapkan “tiga bagian”
JWT berbentuk xxx.yyy.zzz. Pastikan token tidak terpotong saat disalin.
Token saya kedaluwarsa tepat setelah dibuat
Periksa jam server dan perangkat Anda: exp dalam detik UTC.
Payload tidak terbaca
Mungkin itu JWE (token terenkripsi, lima bagian): hanya bisa dibaca dengan kunci dekripsi.
Pertanyaan umum
Apakah token dikirim ke server?
Tidak. Decode dilakukan oleh browser Anda; tidak ada yang dikirim atau disimpan.
Apakah tanda tangan diverifikasi?
Tidak: itu memerlukan rahasia atau kunci publik server. Payload yang didekode bukan bukti keaslian.
Apakah JWT terenkripsi?
Tidak, JWT bertanda tangan (JWS) hanya di-encode Base64URL: jangan pernah menaruh rahasia di payload-nya.
Apa arti iat, nbf, dan exp?
iat: diterbitkan pada; nbf: tidak berlaku sebelum; exp: kedaluwarsa. Semuanya dalam detik Unix.
Pencarian terkait
Masih bermasalah?
Tanyakan di forum: kategori, alat, data perangkat, dan hasil tes akan diisi otomatis.