Decoder JWT

Apa itu JWT decoder?

JWT decoder memecah JSON Web Token menjadi tiga bagiannya, yaitu header, payload, dan signature, lalu men-decode dua bagian pertama dari Base64URL sehingga kamu bisa membacanya sebagai JSON. Developer terus memakainya saat men-debug alur login, otorisasi, claim sesi, dan masalah kedaluwarsa token.

Men-decode JWT *tidak* sama dengan memercayainya. Header dan payload memang dirancang agar bisa dibaca, karena hanya di-encode dengan Base64URL, bukan dienkripsi. Verifikasi itulah yang mengecek apakah token ditandatangani oleh pihak yang diharapkan dan belum diutak-atik.

JWT berbentuk header.payload.signature. Setiap bagian di-encode dengan Base64URL dan dipisahkan oleh titik. Header menyebutkan algoritma penandatanganan yang dipakai, payload membawa claim (siapa penggunanya, kapan token kedaluwarsa, apa yang boleh dilakukan), dan signature memungkinkan server membuktikan bahwa token tidak diubah.

Yang akan kamu pelajari saat men-decode JWT

• JWT punya tiga bagian yang di-encode dengan Base64URL dan dipisahkan oleh titik: header.payload.signature.
• Claim umum seperti sub, role, iat, nbf, dan exp menggambarkan identitas, izin, waktu terbit, dan waktu kedaluwarsa.
• Payload yang sudah di-decode bisa diedit oleh siapa saja. Hanya signature yang memungkinkan server mendeteksi perubahan.
• Algoritmanya berbeda-beda: HS256 memakai secret bersama, sedangkan RS256 dan ES256 memakai pasangan kunci publik/privat. Field alg di header memberi tahu mana yang dipakai.

Cara men-decode JWT langkah demi langkah

1. 1

   Tempel token lengkapnya

   Tempel JWT ke kotak input. Bentuknya seharusnya seperti xxxx.yyyy.zzzz, yaitu tiga bagian yang di-encode dengan Base64URL dan digabung dengan titik.

2. 2

   Baca header-nya

   Header memberi tahu algoritma penandatanganan (alg) dan tipe token. Waspadai "alg": "none", karena artinya token itu tidak ditandatangani dan tidak bisa dipercaya.

3. 3

   Baca claim di payload

   Payload adalah JSON yang berisi semua claim. Cari sub (id pengguna), exp (kedaluwarsa), iat (waktu terbit), dan claim kustom apa pun yang ditambahkan aplikasimu seperti role atau tenant.

4. 4

   Cek kedaluwarsanya

   Ubah Unix timestamp dari exp menjadi tanggal. Kalau sudah lewat, token itu kedaluwarsa dan API yang berperilaku baik akan menolaknya.

5. 5

   Verifikasi signature (opsional)

   Kalau kamu punya secret atau kunci publiknya, tempel ke verifier untuk memastikan signature-nya valid. Isi token hanya bisa dipercaya kalau signature-nya lolos pengecekan.

Claim standar JWT

Ini adalah claim terdaftar yang didefinisikan oleh spesifikasi JWT (RFC 7519). Aplikasi apa pun bisa menambahkan claim kustomnya sendiri di sampingnya.

Contoh JWT untuk dicoba

{  "alg": "HS256",  "typ": "JWT"}

{  "sub": "user_123",  "role": "student",  "exp": 1710000000}

{  "exp": 1710000000}

{  "alg": "none",  "typ": "JWT"}

Kesalahan umum soal JWT

• Menaruh password, secret, atau data pribadi yang sensitif di payload. JWT bisa dibaca, tidak dienkripsi.
• Men-decode token lalu menganggapnya valid tanpa mengecek signature-nya.
• Mengira Base64URL yang bisa dibaca itu sama dengan enkripsi. Payload JWT memang sengaja dibuat mudah dibaca.
• Menyimpan JWT di localStorage tanpa memikirkan dampak XSS, lalu memberinya masa berlaku yang sangat panjang.
• Tidak memvalidasi claim aud (audience). Token yang diterbitkan untuk satu layanan bisa dipakai ulang di layanan lain kalau penerimanya tidak mengecek.

FAQ JWT