Cara Mendekode Token JWT dan Memeriksa Klaim dengan Aman
Jawaban Cepat
Untuk memecahkan kode JWT: tempelkan token ke Decoder JWT, dan header serta payload akan langsung muncul dalam format JSON. Alat ini menerjemahkan bagian yang dikodekan Base64URL secara lokal — token Anda tidak akan pernah keluar dari browser Anda. Ingat: decoding hanya menampilkan konten; itu tidak memverifikasi tanda tangan.
Perkenalan
JWT (JSON Web Token) adalah format token yang ringkas dan aman URL yang digunakan untuk otentikasi dan pertukaran informasi. JWT memiliki tiga bagian yang dipisahkan oleh titik: header.payload.signature. Header menentukan algoritme dan jenis token, payload berisi klaim (ID pengguna, peran, masa berlaku), dan tanda tangan membuktikan bahwa token tidak dirusak. Mengurai kode JWT memungkinkan Anda memeriksa kontennya untuk proses debug — tetapi penguraian kode tidak memverifikasi keasliannya. Panduan ini menunjukkan cara memecahkan kode JWT dengan aman di browser Anda.
Langkah demi Langkah
-
Buka alat Dekoder JWT
Buka halaman alat dekoder JWT. Alat ini menerima string JWT apa pun (tiga bagian berkode Base64URL yang dipisahkan oleh titik).
-
Tempelkan token JWT Anda
Rekatkan JWT ke kolom input. JWT yang khas terlihat seperti: eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJ1c2VyMSJ9.signature. Alat ini secara otomatis mendeteksi ketiga bagian tersebut.
-
Tinjau header yang didekodekan
Alat Base64URL-mendekode bagian pertama dan menampilkannya sebagai JSON. Header biasanya berisi 'alg' (algoritma, misalnya HS256) dan 'typ' (ketik, biasanya 'JWT').
-
Tinjau payload yang didekodekan (klaim)
Alat ini menerjemahkan bagian kedua dan menampilkan klaim dalam format JSON. Klaim umum mencakup 'sub' (subjek/ID pengguna), 'iat' (dikeluarkan pada), 'exp' (kedaluwarsa), dan 'role' (peran pengguna).
-
Periksa tanda tangan (bagian ketiga)
Alat ini menunjukkan bagian tanda tangan. Catatan: decoding TIDAK memverifikasi tanda tangan. Untuk memverifikasi, Anda memerlukan kunci penandatanganan dan perpustakaan verifikasi. Jangan pernah mempercayai klaim JWT tanpa memverifikasi sisi server tanda tangan.
Contoh
Dekode JWT sederhana
Masukan: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyMSIsIm5hbWUiOiJBbGljZSIsImlhdCI6MTY5MzUyNjQwMH0.signature
Keluaran: Header: {"alg":"HS256","typ":"JWT"}
Payload: {"sub":"user1","name":"Alice","iat":1693526400}
JWT dengan klaim kedaluwarsa
Masukan: eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJhZG1pbiIsImV4cCI6MTY5MzYxMjgwMH0.sig
Keluaran: Header: {"alg":"HS256"}
Payload: {"sub":"admin","exp":1693612800}
Masalah Umum
- Membingungkan decode dengan verifikasi —decoding JWT hanya membaca isinya; itu TIDAK membuktikan token itu asli. Selalu verifikasi sisi server tanda tangan dengan kunci penandatanganan.
- Mempercayai token yang kedaluwarsa —periksa klaim 'exp' dan tolak token yang kedaluwarsa. Nilai 'exp' adalah stempel waktu Unix dalam hitungan detik.
- Base64 vs Base64URL —JWT menggunakan pengkodean Base64URL (tanpa padding, - dan _, bukan + dan /). Dekoder Base64 standar akan gagal pada bagian JWT.
- Data sensitif dalam payload —JWT payload dapat dibaca oleh siapa saja yang memiliki token. Jangan menyimpan kata sandi, nomor kartu kredit, atau rahasia lainnya di payload.
Kiat
- Selalu verifikasi sisi server tanda tangan JWT sebelum memercayai klaim apa pun — decoding saja bukanlah autentikasi.
- Periksa klaim 'exp' (kedaluwarsa) dan 'nbf' (bukan sebelumnya) untuk memastikan token valid untuk waktu saat ini.
- Gunakan token yang berumur pendek (15-60 menit) dengan token penyegaran untuk sesi yang panjang —meminimalkan kerusakan jika token bocor.
- Gunakan Dekoder JWT kami untuk proses debug lokal yang aman —token Anda tidak akan pernah keluar dari browser Anda.