Pendekode JWT

Tempel JWT apa pun untuk langsung mendekode header dan payload-nya — periksa klaim, waktu kedaluwarsa, dan tanda tangan tanpa meninggalkan browser atau mengirim data ke mana pun.

Apa itu Pendekode JWT?

JWT (JSON Web Token) adalah cara standar bagi API web modern untuk merepresentasikan klaim autentikasi dan otorisasi. Ini adalah token ringkas dan mandiri yang terdiri dari tiga bagian — header yang menjelaskan algoritma penandatanganan, payload yang membawa klaim sebenarnya (seperti ID pengguna, peran, dan kedaluwarsa), dan tanda tangan yang memungkinkan server penerima memverifikasi bahwa token tidak diubah.

Decoder ini membaca header dan payload secara instan sehingga Anda dapat men-debug masalah autentikasi, memeriksa klaim apa yang sebenarnya dikirim oleh API, atau mengecek kapan token kedaluwarsa — semua tanpa memerlukan backend, alat CLI, atau menempelkan token sensitif ke server pihak ketiga, karena semuanya berjalan secara lokal di browser Anda.

Rumus

JWT = base64Url(header) + "." + base64Url(payload) + "." + base64Url(signature)

Mendekode: pisahkan berdasarkan ".", dekode Base64Url dua bagian pertama, parsing sebagai JSON.

Memverifikasi (tidak dilakukan di sini): HMACSHA256(base64Url(header) + "." + base64Url(payload), secret) === signature

Cara Menghitung

Tempel JWT Anda ke kotak input, atau klik "Muat Contoh" untuk mencobanya.
Header dan payload didekode secara otomatis saat Anda mengetik.
Tinjau klaim seperti iss, sub, exp, dan iat dalam bentuk yang mudah dibaca.
Klaim timestamp (exp, iat, nbf) secara otomatis dikonversi menjadi tanggal yang mudah dibaca.

Contoh

Token yang dimulai dengan eyJhbGciOiJIUzI1NiJ9 didekode menjadi header {"alg":"HS256","typ":"JWT"} — memberi tahu bahwa token ditandatangani dengan HMAC-SHA256.

Manfaat Utama

Dekode JWT apa pun secara instan tanpa backend atau alat CLI
Semuanya berjalan di sisi klien — token tidak pernah dikirim ke server
Secara otomatis mengonversi klaim timestamp menjadi tanggal yang mudah dibaca
Gratis, tanpa pendaftaran, berfungsi untuk JWT apa pun terlepas dari algoritmanya

Kesalahan Umum yang Harus Dihindari

Menganggap JWT yang didekode sebagai JWT yang terverifikasi — dekode hanya membaca konten, tidak mengonfirmasi keasliannya
Menyimpan data sensitif (kata sandi, rahasia) di payload, lupa bahwa siapa pun dapat membacanya
Menempelkan token produksi ke decoder online yang tidak tepercaya
Mengacaukan 'exp' (kedaluwarsa) dengan 'iat' (waktu diterbitkan) saat men-debug masalah masa berlaku token

Tips Profesional

Selalu periksa 'exp' terlebih dahulu saat men-debug error "unauthorized" — token kedaluwarsa adalah penyebab paling umum
Bandingkan 'alg' di header dengan yang diharapkan backend Anda untuk menangkap bug ketidakcocokan algoritma
Jangan pernah mempercayai payload yang didekode sebagai bukti identitas tanpa memverifikasi tanda tangan di sisi server
Gunakan token berumur pendek dengan refresh token daripada JWT berumur panjang untuk membatasi risiko jika token bocor

Istilah Kunci Dijelaskan

Klaim: Sepotong informasi yang dinyatakan tentang subjek, seperti ID pengguna atau peran
Header: Segmen pertama JWT, menentukan algoritma penandatanganan dan jenis token
Payload: Segmen kedua JWT, berisi klaim sebenarnya
Tanda Tangan: Segmen ketiga JWT, digunakan untuk memverifikasi bahwa token tidak diubah

Kasus Penggunaan Umum

Men-debug alasan API menolak token dengan memeriksa klaimnya
Memeriksa waktu kedaluwarsa token selama investigasi dukungan
Memverifikasi bahwa penyedia SSO atau OAuth menerbitkan klaim yang Anda harapkan
Mempelajari struktur JWT untuk persiapan wawancara atau tugas kuliah
Memeriksa dengan cepat token yang ditempel dari dev tools browser atau log server

Pertanyaan Umum

Apa itu JWT?

JSON Web Token (JWT) adalah cara ringkas dan aman-URL untuk merepresentasikan klaim antara dua pihak. Terdiri dari tiga bagian yang dienkode Base64URL dan dipisahkan titik: header, payload, dan tanda tangan.

Apakah aman menempelkan JWT saya ke alat ini?

Proses dekode sepenuhnya terjadi di browser Anda menggunakan JavaScript — token tidak pernah dikirim ke server mana pun. Meski begitu, perlakukan JWT seperti kata sandi: hindari menempelkan token dari sistem produksi ke alat online mana pun, termasuk alat ini.

Mengapa alat ini tidak bisa memverifikasi tanda tangan?

Memverifikasi tanda tangan JWT membutuhkan kunci rahasia (untuk algoritma HMAC) atau kunci publik (untuk algoritma RSA/ECDSA) yang seharusnya hanya dimiliki server penerbit. Alat ini hanya mendekode header dan payload yang dapat dibaca — ia tidak pernah memiliki akses ke kunci tersebut.

Apa arti klaim 'exp'?

'exp' (Expiration Time) adalah timestamp Unix yang menunjukkan kapan token berhenti berlaku. Alat ini secara otomatis mengubahnya menjadi tanggal yang mudah dibaca sehingga Anda dapat dengan cepat memeriksa apakah token sudah kedaluwarsa.