Cara decode JWT
- Salin token dari header Authorization, cookie, atau library auth kamu. Awalan Bearer boleh ikut.
- Tempel ke kotak di atas. Header, payload, dan signature langsung muncul.
- Cek klaim waktu. exp adalah batas akhir token berlaku, iat saat token dibuat, dan nbf waktu paling awal token berlaku.
- Decode tidak memverifikasi token. Siapa pun bisa membaca JWT, dan hanya secret atau public key yang menunjukkan token tidak diubah.
Contoh: token sampel dari jwt.io
Tekan Pakai contoh, atau tempel token ini:
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5cHeader-nya {"alg":"HS256","typ":"JWT"}. Payload berisi sub, name, dan iat (18 Januari 2018).
Token ini tidak punya klaim exp, jadi tool menampilkan badge "Tanpa klaim exp".
Pertanyaan yang sering muncul
Aman menempel token di sini?
Decoding jalan di browser dan tidak ada yang diunggah. Token produksi yang masih aktif tetap berfungsi seperti password bagi siapa pun yang memegangnya sampai kedaluwarsa, jadi pakai token dari lingkungan test kalau bisa.
Apakah signature diverifikasi?
Tidak. Tool ini hanya mendecode. Payload menunjukkan apa yang diklaim token, dan hanya verifikasi signature yang menunjukkan klaim itu asli.
Kenapa payload bisa dibaca tanpa key?
JWT bertanda tangan (JWS) hanya meng-encode header dan payload dengan base64url, jadi siapa pun bisa membacanya. Jangan taruh rahasia di payload.
Token dengan 5 bagian itu apa?
Itu JWT terenkripsi (JWE). Payload-nya terenkripsi, jadi tidak bisa didecode tanpa key.
Kenapa exp beda dengan jam di log server?
exp adalah Unix timestamp dalam detik, dan halaman ini menampilkannya dalam zona waktu lokalmu. Bandingkan dengan waktu UTC di log.