JWT Decoder

Cara mendekode JWT

1. Tempel token ke kolom JSON Web Token. Nilai Authorization: Bearer … lengkap juga bisa dipakai: awalan Bearer dan semua jeda baris akan dihapus.
2. Token didekode saat Anda mengetik (atau klik Dekode). Header dan Payload tampil sebagai JSON yang rapi, masing-masing dengan tombol Salin sendiri.
3. Baca tabel Klaim waktu: exp, nbf, dan iat ditampilkan dengan nilai mentahnya, tanggal dalam zona waktu Anda, waktu relatif (“3 jam lagi”, “2 hari yang lalu”), serta status seperti Kedaluwarsa atau Belum berlaku.
4. Periksa peringatan di atas hasil, misalnya saat alg bernilai none atau saat sebuah tanggal tampaknya dalam milidetik.
5. Untuk memeriksa signature, isi kunci di bagian Verifikasi signature lalu klik tombol Verifikasi signature.

Mendekode tidak sama dengan memverifikasi

JWT terdiri dari tiga bagian Base64url yang dipisahkan titik: header.payload.signature. Header dan payload hanya dienkode, bukan dienkripsi, sehingga siapa pun yang memegang token dapat membacanya, dan alat ini bisa mendekode token apa pun tanpa kunci. Artinya, payload yang berhasil didekode tidak membuktikan apa-apa: seseorang bisa saja telah mengubahnya. Hanya signature yang valid yang menunjukkan bahwa token diterbitkan oleh pemegang kunci dan tidak diubah sejak saat itu. Karena itu baris status menampilkan “Terdekode (signature belum diverifikasi).” sampai Anda memverifikasinya.

Token dengan lima bagian adalah JWE (JWT terenkripsi). Isinya tidak dapat dibaca tanpa kunci dekripsi, dan alat ini akan memberi tahu Anda hal tersebut.

Memverifikasi signature

• HS256, HS384, HS512 (HMAC): masukkan Secret bersama. Gunakan Format secret untuk menyatakan apakah secret berupa teks biasa (UTF-8) atau Base64/Base64url, karena sebagian penyedia menyimpan secret dalam Base64. Anda juga bisa menempelkan JWK bertipe oct. Jika secret lebih pendek daripada keluaran hash (32 byte untuk HS256), alat ini mencatat bahwa secret tersebut di bawah batas minimum RFC 7518.
• RS256/384/512, PS256/384/512, ES256/384/512, dan EdDSA: tempel Kunci publik (PEM atau JWK). Blok PEM yang diterima adalah PUBLIC KEY, RSA PUBLIC KEY, dan CERTIFICATE (kunci dibaca dari sertifikat X.509). JWK atau seluruh JWK Set juga bisa: kunci yang kid-nya cocok dengan header akan dipakai. Kunci privat ditolak, karena verifikator tidak pernah membutuhkannya. EdDSA mendukung Ed25519 di browser yang Web Crypto-nya sudah mengimplementasikannya.

Verifikasi memakai Web Crypto API milik browser. Hasil “Signature tidak valid” berarti kuncinya salah atau token telah diubah. Perlu diingat bahwa algoritme diambil dari header token: server sungguhan justru harus menetapkan algoritme yang diharapkan di konfigurasinya, karena jika tidak, penyerang bisa memilihnya sendiri.

Catatan keamanan

• Token adalah kredensial. Siapa pun yang memegang access token yang valid biasanya bisa bertindak sebagai pemiliknya sampai token kedaluwarsa. Alat ini mendekode dan memverifikasi semuanya di browser Anda dan tidak pernah mengirim token atau kunci ke mana pun. Meski begitu, hindari menempelkan token produksi ke alat yang tidak bisa Anda periksa.
• alg: none berarti token tidak ditandatangani. Siapa pun bisa memalsukannya, dan server wajib menolaknya. Alat ini menampilkan peringatan dan menolak “memverifikasi” token seperti itu.
• Pemeriksaan waktu di sini memakai jam komputer Anda tanpa toleransi apa pun, sedangkan server sering memberi kelonggaran satu atau dua menit untuk selisih jam.
• Tanggal JWT (NumericDate) dinyatakan dalam detik sejak 1 Januari 1970 UTC. Nilai 13 digit kemungkinan besar dalam milidetik, dan ini bug yang sering terjadi.