Decoder JWT
Decode JSON Web Token dan baca header, payload, serta claim-nya dalam format yang mudah dibaca, lengkap dengan pemeriksaan instan apakah token sudah
Tempelkan JSON Web Token lalu baca ketiga bagiannya dalam bentuk yang mudah dibaca: header berisi algoritma penandatanganan, payload berisi klaimnya, dan stempel waktu yang bisa dibaca manusia untuk issued-at, not-before, dan kedaluwarsa. Alat ini langsung memberi tahu apakah tokennya sudah kedaluwarsa dan kapan itu akan terjadi.
Ini langkah debug sehari-hari ketika sebuah API mengembalikan 401 dan Anda perlu tahu apakah masalahnya ada pada tanda tangan, audiensnya, atau sekadar token yang kedaluwarsa. Semuanya di-decode di browser Anda, jadi token produksi tidak pernah dikirim ke mana pun.
Cara men-decode JSON Web Token
Tempelkan tokennya
Baca header, payload, dan masa kedaluwarsanya
Salin payload JSON-nya jika Anda membutuhkannya
FAQ
Apakah alat ini memverifikasi tanda tangannya?
Tidak - dan itu penting. Proses decode hanya melakukan base64url-decode pada bagian-bagiannya, jadi isinya bisa dibaca tetapi tidak terbukti asli. Jangan pernah menganggap token yang sudah di-decode sebagai tepercaya sebelum server Anda memverifikasi tanda tangannya.
Bagaimana saya tahu tokennya sudah kedaluwarsa?
Klaim exp adalah stempel waktu Unix dalam detik dan alat ini membandingkannya dengan waktu saat ini, lalu menampilkan tanggalnya dan apakah tokennya masih berlaku.
Apa perbedaan exp, iat, dan nbf?
iat adalah waktu token diterbitkan, nbf adalah waktu paling awal token boleh dipakai, dan exp adalah waktu token berhenti berlaku. Sebuah token hanya dapat diterima di antara nbf dan exp.
Apakah aman menempelkan token asli di sini?
Proses decode sepenuhnya terjadi di browser Anda, jadi tokennya tidak dikirim ke mana pun. Meski begitu, perlakukan setiap token sebagai kredensial: jangan menempelkannya ke situs yang tidak Anda percayai, dan ganti tokennya jika mungkin sudah bocor.
Mengapa token saya menampilkan error?
JWT punya tepat tiga bagian yang dipisahkan titik. Bagian yang hilang, baris baru di tengahnya, atau token yang sebenarnya ID sesi buram semuanya akan dilaporkan sebagai bukan JWT.
Apakah token saya diunggah?
Tidak, proses decode-nya lokal.
Sekilas
| Masukan | teks |
|---|---|
| Beberapa file | Tidak |
| Dijalankan di | Di browser Anda - file tidak pernah diunggah |
| Bekerja offline | Ya — setelah halaman dimuat |
| Harga | Gratis, tanpa pendaftaran, tanpa tanda air |
Menangani rahasia dengan aman
Alat pengembang memproses kredensial lebih sering daripada yang orang sadari, dan risikonya bukan pada algoritmenya melainkan pada ke mana datanya pergi. Hashing bersifat satu arah dan bukan enkripsi - MD5 dan SHA-1 sudah rusak untuk apa pun yang berkaitan dengan keamanan, dan bahkan SHA-256 adalah alat yang keliru untuk menyimpan kata sandi, karena bcrypt, scrypt, atau Argon2 justru ada untuk dibuat lambat. Base64 adalah pengodean, bukan perlindungan: siapa pun bisa mendekodenya, jadi jangan pernah menganggapnya sebagai penyamaran. JWT bisa dibaca siapa pun yang memegangnya, itulah sebabnya payload-nya tidak boleh memuat rahasia, dan mendekode token tidak memverifikasi tanda tangannya - verifikasi memerlukan kuncinya. Semua yang ada di situs ini berjalan lokal di browser Anda, dan itulah alasan situs ini bisa menangani token serta kata sandi dengan aman.
Di mana konversi diam-diam rusak
Sebagian besar bug konversi bukan soal sintaksis, melainkan soal makna. Kolom kode pos pada CSV kehilangan angka nol di depannya begitu spreadsheet menduga kolom itu berisi angka; ID yang panjang melampaui presisi floating-point; tanggal berubah makna tergantung apakah formatnya tanggal-dulu atau bulan-dulu. Kunci JSON tidak berurutan, sedangkan array berurutan, dan alat yang mengurutkan kunci tidak mengubah apa pun sementara alat yang mengurutkan array mengubah datanya. Unicode adalah jebakan lain: teks bisa datang sebagai UTF-8, UTF-16, atau dengan BOM, dan dekoder yang salah menebak mengubah karakter beraksen menjadi mojibake. Sebelum memercayai konversi apa pun, periksa sekilas baris pertama dan terakhir, setiap bidang yang memiliki angka nol di depan, dan setiap bidang yang memuat tanda kutip, koma, atau baris baru.