Dekoder JWT

Dekode JSON Web Token untuk melihat header dan payload, memeriksa masa berlaku, dan memverifikasi tanda tangan HS256/384/512.

Memuat…

Cara menggunakan

  1. Tempel token ke kotak input. Awalan "Bearer " diabaikan, jadi Anda bisa menempel nilai header Authorization apa adanya.
  2. Lihat Header dan Payload hasil dekode. Tombol Salin di samping tiap judul menyalin JSON yang sudah dirapikan.
  3. Jika payload memiliki klaim exp, baris di atas menampilkan Kedaluwarsa atau Belum kedaluwarsa beserta sisa atau lewat berapa lama, diperbarui setiap detik.
  4. Tabel menampilkan iat (diterbitkan), nbf (berlaku mulai), dan exp (kedaluwarsa) sebagai tanggal dalam zona waktu lokal Anda, masing-masing dengan waktu relatif.
  5. Di bagian Tanda tangan, untuk token HS256, HS384, atau HS512, ketik kunci rahasia di kolom Kunci rahasia (HMAC) untuk melihat apakah tanda tangannya valid.

Pertanyaan umum

Jika token bisa didekode, apakah berarti token itu valid?
Tidak. Header dan payload hanya dienkode Base64URL, jadi siapa pun bisa membacanya atau membuat yang baru. Token hanya bisa dipercaya bila tanda tangannya cocok dengan kunci yang benar dan nilai alg, exp, nbf, iss, serta aud-nya sesuai dengan yang diharapkan aplikasi Anda; alat ini dapat memeriksa tanda tangan untuk HS256/384/512 jika Anda memasukkan kunci rahasia.
Algoritma tanda tangan apa saja yang bisa diverifikasi?
Hanya HMAC: HS256, HS384, dan HS512. Algoritma kunci publik seperti RS256, ES256, dan PS256 memerlukan kunci publik penerbit, yang tidak diterima alat ini, sehingga token tersebut hanya didekode. Kunci rahasia dipakai sebagai teks apa adanya (UTF-8); kunci yang dienkode Base64 tidak didekode terlebih dahulu.
Bagaimana iat, nbf, dan exp dibaca?
Nilainya dibaca sebagai detik sejak 1970-01-01 UTC dan ditampilkan dalam zona waktu lokal Anda; nilai yang bukan angka tidak muncul di tabel. Status Kedaluwarsa / Belum kedaluwarsa hanya ditentukan dari exp, jadi periksa nbf untuk mengetahui apakah token sudah boleh dipakai.
Mengapa muncul pesan bukan JWT yang valid?
Input harus terdiri dari tiga bagian yang dipisahkan titik, dan dua bagian pertama harus berupa objek JSON yang dienkode Base64URL. Token terenkripsi (JWE, lima bagian) serta token yang terpotong atau salah disalin tidak dapat didekode.
Apakah token atau kunci rahasia saya dikirim ke server?
Tidak. Dekode dan verifikasi dilakukan di browser Anda; token dan kunci rahasia tidak dikirim ke server kami atau ke tempat lain.