Dekoder JWT

JWT (JSON Web Token) adalah token ringkas dan aman untuk URL yang digunakan untuk otentikasi dan pertukaran informasi antar pihak. Dengan memecahkan kode JWT, Anda dapat melihat header (jenis token dan algoritme), payload (klaim dan data pengguna), dan tanda tangan. Pengembang memecahkan kode JWT untuk men-debug masalah autentikasi, memeriksa izin pengguna, atau memahami konten token selama pengembangan.

Cukup tempelkan token JWT Anda ke dalam kolom input dan klik 'Decode JWT'. Alat ini akan segera menguraikan token dan menampilkan header dan payload dalam format JSON yang dapat dibaca. Anda akan melihat semua klaim, waktu kedaluwarsa, informasi penerbit, dan data khusus apa pun yang tersimpan di dalam token.

Tidak, decoder ini hanya menampilkan header dan isi muatan JWT - decoder ini tidak memverifikasi tanda tangan. Verifikasi tanda tangan membutuhkan kunci rahasia atau kunci publik, yang tidak boleh dibagikan atau dimasukkan ke dalam alat online. Untuk keamanan, selalu verifikasi JWT di sisi server menggunakan pustaka yang tepat dengan kunci rahasia Anda.

JWT yang telah diterjemahkan biasanya menunjukkan: jenis token dan algoritme penandatanganan pada header; dan klaim seperti 'iss' (penerbit), 'sub' (subjek), 'aud' (audiens), 'exp' (waktu kedaluwarsa), 'iat' (diterbitkan pada), dan klaim khusus apa pun pada muatan. Informasi ini membantu Anda memahami siapa yang menerbitkan token, kapan masa berlakunya, dan izin atau data apa saja yang dikandungnya.

Menguraikan kode JWT dari sisi klien umumnya aman karena JWT dirancang untuk dapat dibaca oleh siapa saja - JWT dienkode dengan base64, bukan dienkripsi. Namun, jangan pernah memecahkan kode JWT yang berisi data yang sangat sensitif menggunakan alat online publik. Alat ini memproses token sepenuhnya di browser Anda tanpa mengirim data ke server, tetapi hindari menggunakannya dengan token produksi yang berisi informasi sensitif.

JWT mengikuti struktur standar dengan tiga bagian yang dikodekan dengan base64 yang dipisahkan oleh titik-titik: header.payload.signature. Header menjelaskan jenis token dan algoritme, payload berisi klaim dan data, dan tanda tangan memastikan token belum dirusak. Struktur ini membuat JWT menjadi ringkas dan aman untuk URL dengan tetap menjaga keamanan.

JWT yang telah diterjemahkan berisi klaim 'exp' (kedaluwarsa), yang merupakan stempel waktu Unix. Bandingkan stempel waktu ini dengan waktu saat ini - jika waktu saat ini lebih besar dari nilai exp, token telah kedaluwarsa. Dekoder menampilkan stempel waktu ini dalam format yang dapat dibaca untuk membantu Anda memverifikasi keabsahan token.

'iat' (dikeluarkan pada) menunjukkan kapan token dibuat, 'exp' (waktu kedaluwarsa) menunjukkan kapan token berakhir, dan 'nbf' (not before) menentukan kapan token menjadi valid. Stempel waktu ini membantu mengontrol siklus hidup token dan mencegah penggunaan ulang token di periode waktu yang berbeda.

Ya! Token akses OAuth 2.0 dan token ID OpenID Connect sering kali menggunakan format JWT. Menguraikannya akan mengungkap cakupan, izin, pengenal pengguna, dan detail autentikasi. Hal ini sangat berharga untuk men-debug alur autentikasi, memverifikasi izin yang diberikan, dan memecahkan masalah integrasi.

JWT dengan 'algoritma: tidak ada' (juga disebut JWT tidak aman) tidak memiliki verifikasi tanda tangan. Hal ini berbahaya dalam produksi dan sering kali mengindikasikan kerentanan keamanan. JWT yang sah seharusnya menggunakan algoritme seperti RS256, HS256, atau ES256. Jika Anda melihat 'tidak ada', segera selidiki karena ini mungkin mengindikasikan masalah keamanan.