Decoder JWT — Decode JSON Web Token Seketika

Apa itu Decoder JWT?

Decoder JWT (JWT डिकोडर) membaca JSON Web Token dan menampilkan isinya. JWT ada di mana-mana di aplikasi modern: saat Anda login ke situs web atau aplikasi seluler, server sering memberi browser Anda token seperti eyJhbGciOiJIUzI1NiIs… yang membuktikan siapa Anda pada permintaan berikutnya. API menerimanya di header Authorization: Bearer, sistem single sign-on seperti Google, Firebase, Auth0, dan AWS Cognito menerbitkannya sebagai ID token, dan webhook serta microservice meneruskannya antar server.

Setiap token membawa klaim — ID pengguna, email atau perannya, siapa yang menerbitkan token, untuk siapa token ditujukan, dan kapan kedaluwarsa — di-encode dalam Base64URL agar bisa berpindah dengan aman di URL dan header. Decoder gratis ini mengubah token kembali menjadi JSON yang terbaca, menjelaskan klaim standar, mengubah klaim timestamp menjadi tanggal sungguhan, memberi tahu apakah token sudah kedaluwarsa, memperingatkan pengaturan yang tidak aman, dan, untuk token bertanda tangan HMAC, bisa memverifikasi tanda tangan dengan secret Anda. Semua ini terjadi di browser Anda; token tidak pernah diunggah.

Fitur Utama

• Header dan payload di-decode dan dirapikan sebagai JSON.
• Aman UTF-8 — nama dan klaim dalam bahasa Hindi atau bahasa lain tampil dengan benar.
• Tabel klaim dengan arti sederhana untuk klaim terdaftar.
• Tanggal — exp, iat, nbf, dan auth_time dalam UTC dan waktu lokal, dengan “dalam 2 jam” atau “3 hari lalu”.
• Status — kedaluwarsa, belum valid, atau masih valid.
• Peringatan untuk alg none dan untuk token terenkripsi (JWE).
• Verifikasi HMAC untuk HS256, HS384, dan HS512.
• Awalan “Bearer ” dihapus otomatis.

Cara Men-decode JWT — Langkah demi Langkah

1. Salin token dari developer tools browser Anda, respons API, cookie, atau log.
2. Tempel ke kotak; hasil muncul seketika.
3. Baca baris status untuk algoritma dan kedaluwarsa.
4. Periksa JSON header dan payload serta tabel klaim.
5. Untuk memverifikasi token HS256/384/512, masukkan secret bersama. Token contoh di halaman ini ditandatangani dengan secret promptminds-secret, jadi Anda bisa mencobanya.

Tiga Bagian JWT

Ketiga bagian digabung dengan titik. Karena hanya tanda tangan yang bergantung pada secret atau kunci privat, siapa pun bisa men-decode dua bagian pertama — itulah mengapa payload JWT tidak boleh berisi kata sandi, nomor kartu, atau rahasia lain.

Penjelasan Klaim Terdaftar

Klaim waktu adalah timestamp Unix dalam detik. Misalnya, exp 4102444800 adalah 1 Januari 2100 00:00 UTC — kedaluwarsa jauh di masa depan yang dipakai pada token contoh halaman ini. Konverter Timestamp kami mengubah nilai seperti itu.

Decoding vs Verifikasi

Decoding menjawab “apa isi token ini?”. Verifikasi menjawab “bisakah saya memercayai isinya?”. Untuk memverifikasi, server menghitung ulang tanda tangan atas header.payload dengan secret bersama (HS256) atau memeriksanya dengan kunci publik issuer (RS256, ES256), lalu memvalidasi exp, nbf, iss, dan aud. Hanya setelah semua pemeriksaan lolos barulah ia boleh bertindak atas klaim. Tool ini bisa melakukan bagian HMAC dari verifikasi untuk pengujian; untuk algoritma kunci publik, gunakan library server Anda dan endpoint JWKS milik issuer.

Jebakan Keamanan JWT yang Umum

• Menerima alg none — penyerang bisa membuang tanda tangan. Selalu wajibkan algoritma tertentu.
• Kebingungan algoritma — server yang menerima RS256 dan HS256 bisa dikelabui memakai kunci publik sebagai secret HMAC. Kunci algoritma yang diharapkan.
• Secret HMAC yang lemah — secret pendek bisa dibobol dengan brute force dari token yang ditangkap. Gunakan minimal 256 bit acak.
• Token berumur panjang — jaga access token tetap singkat (menit hingga jam) dan gunakan refresh token.
• Menyimpan token di localStorage — XSS apa pun bisa mencurinya; pertimbangkan cookie HttpOnly.
• Data sensitif di payload — bisa dibaca siapa pun yang melihat token.

Di Mana Menemukan JWT

• Developer tools browser → tab Network → header Authorization sebuah permintaan.
• Tab Application / Storage → cookie, localStorage, atau sessionStorage.
• Respons API dari endpoint login (sering kolom access_token dan id_token).
• Log aplikasi seluler atau tool proxy saat debugging.
• Firebase — await user.getIdToken() mengembalikan ID token yang bisa Anda tempel di sini.

Cara Kerja Decoder Ini

Tool menghapus “Bearer ” di awal, memecah token pada titik, mengubah setiap bagian Base64URL kembali menjadi byte (menambah padding dan menukar - dan _ dengan + dan /), men-decode byte sebagai UTF-8 ketat, dan mem-parse sebagai JSON. Error dilaporkan dengan tepat — misalnya jika sebuah bagian mengandung karakter yang bukan Base64URL atau bukan JSON valid. Status kedaluwarsa dihitung terhadap jam perangkat Anda. Untuk HS256/384/512, tool mengimpor secret Anda dengan Web Crypto API, menghitung HMAC dari header.payload, dan membandingkan hasil Base64URL dengan tanda tangan token.

Access Token, ID Token, dan Refresh Token

Sistem login berbasis OAuth 2.0 dan OpenID Connect biasanya menerbitkan beberapa token. ID token selalu berupa JWT dan menjelaskan pengguna (nama, email, sub) untuk aplikasi klien. Access token dikirim ke API; sering berupa JWT tetapi bisa juga string acak opaque yang hanya dipahami issuer — itu tidak bisa di-decode di sini. Refresh token berumur panjang, harus disimpan dengan aman, dan ditukar dengan access token baru saat yang lama kedaluwarsa. Jika sebuah token tidak bisa di-decode, kemungkinan token itu opaque, bukan rusak.

Kegunaan Umum

• Men-debug error “401 Unauthorized” dengan memeriksa exp, aud, dan iss.
• Memeriksa peran atau scope apa yang diberikan sebuah token.
• Membandingkan ID token dari penyedia identitas yang berbeda.
• Memverifikasi token webhook atau layanan HS256 selama pengembangan.
• Mempelajari cara token autentikasi dibangun.
• Mengonfirmasi masalah clock-skew antar server.
• Memeriksa bahwa rilis baru masih menerbitkan token dengan klaim yang diharapkan.

Kesalahan Umum yang Perlu Dihindari

• Memercayai klaim yang di-decode di browser untuk keputusan keamanan — selalu verifikasi di server.
• Menempel token produksi ke situs web yang tidak dikenal — token adalah kata sandi sementara.
• Memperlakukan exp sebagai milidetik — waktu JWT dalam detik.
• Mengabaikan clock skew — beri kelonggaran satu atau dua menit antar server.
• Memakai secret yang sama di mana-mana — rotasi dan batasi cakupan secret.

Pemecahan Masalah

• “JWT memiliki 3 bagian” — token terpotong atau ada teks tambahan; salin lagi secara lengkap.
• “bukan JSON Base64URL yang valid” — token mungkin access token opaque, bukan JWT.
• Tanda tangan tidak cocok — secret salah, token dimodifikasi, atau secret ter-encode Base64 di server (masukkan secret yang sudah di-decode).
• Kedaluwarsa tetapi aplikasi masih berfungsi — aplikasi mungkin me-refresh token otomatis atau memeriksa token lain.

Glosarium Singkat

• JWT: JSON Web Token (RFC 7519).
• JWS / JWE: format token bertanda tangan / terenkripsi.
• Klaim: sepotong informasi di payload.
• HMAC: hash berkunci yang dipakai HS256/384/512.
• JWKS: kumpulan JSON kunci publik yang dipakai untuk memverifikasi token RS/ES.
• Bearer token: token yang memberi akses kepada siapa pun yang memegangnya.
• Base64URL: Base64 aman-URL tanpa padding, dipakai untuk setiap bagian JWT.
• Clock skew: selisih waktu kecil antar server yang bisa membuat token baru tampak kedaluwarsa.

Mengapa Memakai Decoder JWT Ini?

Men-decode JWT apa pun seketika, menjelaskan klaim dan kedaluwarsa dengan bahasa sederhana, menandai pengaturan berbahaya, memverifikasi tanda tangan HMAC, dan menjaga token Anda di perangkat — gratis dan tanpa daftar.

Decoder JWT — Fakta Penting

Pertanyaan yang Sering Diajukan

Jelajahi Tools Prompt Minds Lainnya

Decoder JWT sangat cocok dipakai bersama tools gratis kami yang lain. Setiap tool Prompt Minds berjalan sepenuhnya di browser Anda — tanpa daftar, tanpa unggahan, tanpa watermark. Lihat semua tools gratis.