See inside any JWT — header, payload and expiry

Tempel JWT terkode (string panjang eyJ…) ke dalam kotak input. Alat ini memisahkannya pada dua titik, mendekode header dan payload dengan Base64URL, dan menampilkan JSON masing-masing beserta segmen signature mentah — semuanya tanpa melakukan permintaan jaringan apa pun.

Tidak. Dekoder hanya mengurai token — ia tidak memeriksa tanda tangan terhadap kunci rahasia atau publik, karena verifikasi memerlukan material kunci dari penerbit. Gunakan pustaka JWT di sisi server untuk verifikasi produksi; alat ini ditujukan untuk inspeksi dan debugging.

Anda mendapatkan header (algoritma dan key id), klaim payload (sub, iss, aud, iat, exp, dan klaim khusus apa pun), serta tanda tangan mentah. Klaim stempel waktu standar diformat sebagai tanggal yang mudah dibaca manusia sehingga Anda bisa langsung mengenali token kedaluwarsa sekilas.

Jika payload berisi klaim standar "exp", alat ini membandingkannya dengan waktu saat ini dan menampilkan "Valid until" atau "Token expired at" dengan timestamp yang tepat. Token tanpa klaim exp dilaporkan tidak memiliki masa kedaluwarsa.

Siapa pun yang membaca payload sebuah JWT dapat menggunakannya hingga kedaluwarsa, jadi token produksi sebaiknya hanya digunakan di alat privat. Decoder ini berjalan sepenuhnya di browser Anda dan tidak pernah mengirimkan token, tetapi aturan yang lebih aman adalah mendekode token pengembangan berumur pendek bila memungkinkan.

Sebuah JWT memiliki tiga segmen berkode Base64URL yang dipisahkan oleh titik: header (algoritma penandatanganan), payload (klaim yang ingin diyakinkan oleh penerbit kepada pemverifikasi), dan signature (MAC atau tanda tangan digital atas header.payload). Pendekodean tidak pernah memerlukan kunci — hanya verifikasi yang memerlukannya.

Token ringkas yang aman untuk URL, terdiri dari tiga segmen Base64URL — header, payload, dan signature — yang membawa klaim bertanda tangan seperti ID pengguna dan waktu kedaluwarsa. Banyak digunakan untuk sesi login stateless dan mengamankan permintaan API. Tempel satu di atas untuk memeriksa header dan payload-nya.

Di bawah header dan payload yang telah didekode, tempel signing secret (untuk HS256) atau kunci publik penerbit dalam format PEM atau JWK (untuk RS256, ES256, dan sejenisnya) ke kotak Verify signature, lalu klik Verify. Badge yang muncul melaporkan apakah tanda tangan valid, tidak valid, atau memakai algoritma yang tak didukung verifier di sisi browser — semuanya dihitung secara lokal, tanpa mengirim token atau kunci ke mana pun.

Untuk algoritme HMAC seperti HS256 Anda menempelkan string shared secret mentah. Untuk algoritme asimetris seperti RS256, RS384, atau ES256 Anda memerlukan public key penerbit — jangan pernah private key — yang disediakan sebagai blok PEM atau JWK; menempelkan setengah yang salah dari pasangan kunci asimetris akan menyebabkan verifikasi gagal meskipun token-nya valid.

Panel Verify signature mendukung setiap algoritma JOSE arus utama: HS256/384/512 (HMAC dengan rahasia bersama), RS256/384/512 (RSASSA-PKCS1-v1_5 dengan kunci publik RSA), PS256/384/512 (RSA-PSS dengan kunci publik RSA) dan ES256/384/512 (ECDSA atas kurva P-256/P-384/P-521 yang sesuai). Token yang ditandatangani dengan "none" atau algoritma apa pun di luar daftar ini selalu dilaporkan sebagai tidak didukung alih-alih ditandai valid, yang juga melindungi Anda dari trik pemalsuan klasik alg=none.

Penyebab paling umum adalah menempelkan whitespace tambahan atau baris baru di akhir ke dalam kotak rahasia — verifier meng-hash byte persis yang Anda masukkan, sehingga artefak salin-tempel merusak kecocokan. Periksa juga bahwa Anda memverifikasi token saat ini: jika JWT diterbitkan ulang setelah Anda menyalinnya, atau rahasia penyedia dikodekan base64 alih-alih string mentah, dekode dulu sebelum menempelkannya.

Klik Try sample JWT untuk memuat token HS256 demo dengan klaim sub, name, iat, dan exp agar Anda bisa melihat proses dekode dan pengecekan kedaluwarsa bekerja sebelum menempelkan token Anda sendiri. Setelah ada token di kotak, tombol Clear muncul di sebelahnya yang mengosongkan input kembali hanya dengan satu klik.

Setiap panel Header, Payload, dan Signature memiliki tombol Copy tersendiri di sudut kanan atasnya yang menyalin hanya JSON bagian tersebut (atau string signature mentah) ke clipboard Anda. Ada juga tombol utama Copy Payload di bawah panel untuk kasus paling umum yaitu mengambil hanya klaim untuk ditempelkan ke debugger atau laporan bug.

Salin nilai setelah 'Bearer ' pada header Authorization — bagian eyJ… itulah JWT-nya sendiri — lalu tempelkan ke decoder untuk langsung melihat header, klaim payload, dan status kedaluwarsanya. Jika Anda menyalin seluruh string 'Bearer eyJ…', hapus dulu awalan 'Bearer ' agar token memiliki tepat tiga bagian yang dipisahkan titik.

Tidak — ini adalah pendekode dan penampil, bukan editor JWT. Mengubah payload akan membuat tanda tangannya tidak valid, sehingga server mana pun yang memverifikasi token akan menolak versi yang telah diubah. Untuk mengubah klaim, Anda harus menerbitkan token baru yang ditandatangani dengan secret atau private key yang benar. Gunakan pendekode ini untuk membaca dan men-debug token, bukan untuk mengubahnya.