JWT Decoder

Apa Itu JWT?

// Decode a JWT in the browser — header & payload only
function decodeJwt(token) {
  const [h, p, s] = token.split('.');
  const pad = (seg) => seg + '==='.slice((seg.length + 3) % 4);
  const decode = (seg) => JSON.parse(
    atob(pad(seg).replace(/-/g, '+').replace(/_/g, '/'))
  );
  return { header: decode(h), payload: decode(p), signature: s };
}

const { header, payload } = decodeJwt(token);
console.log(header);   // → { alg: 'HS256', typ: 'JWT' }
console.log(payload);  // → { sub: 'user_123', exp: 1999999999, ... }

// Expiration check
const expired = payload.exp * 1000 < Date.now();

Fitur Utama

Contoh

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzEyMyIsIm5hbWUiOiJBbGljZSIsInJvbGUiOiJhZG1pbiIsImlhdCI6MTcxNTAwMDAwMCwiZXhwIjoxOTk5OTk5OTk5fQ.4NhxPjwoZxPNuxG-2C5ugGxaUsUJ0QyskAz7Ymz5Sg0

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub": "user_123",
  "name": "Alice",
  "role": "admin",
  "iat": 1715000000,
  "exp": 1999999999
}

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6ImtleS0yMDI1LTAxIn0.eyJpc3MiOiJodHRwczovL2F1dGguZXhhbXBsZS5jb20iLCJhdWQiOiJhcGkuZXhhbXBsZS5jb20iLCJzdWIiOiI5MDA4NzE2NSIsImlhdCI6MTYwMDAwMDAwMCwiZXhwIjoxNjAwMDAzNjAwLCJzY29wZSI6InJlYWQ6dXNlciB3cml0ZTpwb3N0In0.signature_placeholder

{
  "alg": "RS256",
  "typ": "JWT",
  "kid": "key-2025-01"
}

{
  "iss": "https://auth.example.com",
  "aud": "api.example.com",
  "sub": "90087165",
  "iat": 1600000000,
  "exp": 1600003600,
  "scope": "read:user write:post"
}

eyJhbGciOiJFUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwczovL2FjY291bnRzLmdvb2dsZS5jb20iLCJzdWIiOiIxMTA1MDIyNTExNTU4OTkwNzY2Mzk1IiwiYXpwIjoiY2xpZW50LWlkIiwiYXVkIjoiY2xpZW50LWlkIiwiZW1haWwiOiJhbGljZUBleGFtcGxlLmNvbSIsImVtYWlsX3ZlcmlmaWVkIjp0cnVlLCJpYXQiOjE3MTUwMDAwMDAsImV4cCI6MTk5OTk5OTk5OSwibm9uY2UiOiJhYmMxMjMifQ.signature

{
  "alg": "ES256",
  "typ": "JWT"
}

{
  "iss": "https://accounts.google.com",
  "sub": "110502251155899076639",
  "azp": "client-id",
  "aud": "client-id",
  "email": "alice@example.com",
  "email_verified": true,
  "iat": 1715000000,
  "exp": 1999999999,
  "nonce": "abc123"
}

eyJhbGciOiJub25lIiwidHlwIjoiSldUIn0.eyJzdWIiOiJkZWJ1Zy11c2VyIiwiaWF0IjoxNzE1MDAwMDAwfQ.

{
  "alg": "none",
  "typ": "JWT"
}

{
  "sub": "debug-user",
  "iat": 1715000000
}

Cara Menggunakan

1. 1

   Tempel JWT Anda untuk Didekode

   Tempel token lengkap yang akan didekode — termasuk tiga segmen yang dipisahkan titik — ke kotak input. Dekoder berjalan instan di browser Anda; Anda tidak perlu mengklik tombol.

2. 2

   Baca Header, Payload & Status yang Didekode

   Baca algoritma dan tipe token di header yang didekode, klaim di payload yang didekode, serta chip kedaluwarsa / waktu penerbitan di bagian atas. Token kedaluwarsa ditandai warna merah.

3. 3

   Salin Hasil yang Didekode

   Gunakan tombol Salin di setiap panel untuk menyalin JSON header yang didekode, JSON payload yang didekode, atau tanda tangan mentah. Token Anda tidak pernah dikirim ke mana pun — decoding terjadi secara lokal di browser Anda.

Common Errors

jwt.verify(token, secret)  // library default may allow 'none'

jwt.verify(token, secret, { algorithms: ['RS256'] })

{ "sub": "user_123", "role": "admin" }  // no exp

{ "sub": "user_123", "role": "admin", "exp": 1715003600 }

{ "sub": "user_123", "password": "hunter2" }

{ "sub": "user_123", "role": "admin" }  // payload stays minimal

Kasus Penggunaan Umum

Dekode Token Authorization Bearer

Dekode token JWT dari header Authorization: Bearer untuk memverifikasi klaim, audience, dan kedaluwarsa yang diterima backend Anda.

Dekode Token OAuth 2.0 & OIDC

Dekode access token dan ID token yang dikembalikan server otorisasi (Auth0, Okta, Google, Keycloak) saat integrasi OAuth 2.0 dan OpenID Connect.

Diagnosis Sesi Kedaluwarsa

Pastikan dalam satu detik apakah token yang ditolak kedaluwarsa, memakai audience yang salah, atau bermasalah clock skew.

Pemeriksaan Key Rotation

Baca kid (key ID) di header untuk memverifikasi bahwa rotasi JWKS Anda menerbitkan token yang ditandatangani dengan key yang diharapkan.

Security Review

Tangkap token yang ditandatangani dengan alg:none, tanpa exp, atau membocorkan PII di payload saat code review dan pentest.

Inspeksi Token Microservice

Dekode token service-to-service di dalam mesh untuk melihat scope dan subject apa yang diotorisasi panggilan downstream.

Detail Teknis

Sesuai RFC 7519

Menangani token JWS yang sesuai RFC 7519 (JWT), RFC 7515 (JWS), dan RFC 7518 (JWA) — semua algoritma terdaftar didukung untuk decoding.

Decoding Base64URL

Memakai alfabet Base64 yang URL-safe (- dan _ menggantikan + dan /) seperti didefinisikan di RFC 4648, dengan parsing yang toleran terhadap padding.

Native Browser, Tanpa Dependensi

Dibangun di atas atob, TextDecoder, dan JSON.parse bawaan browser — tanpa library eksternal, tanpa panggilan jaringan, tanpa telemetri.

Praktik Terbaik

Jangan Pernah Percaya Tanpa Verifikasi

Decoder menampilkan klaim; ia tidak membuktikannya. Selalu verifikasi tanda tangan di sisi server terhadap key issuer sebelum mempercayai klaim apa pun.

Tolak alg:none di Production

Konfigurasikan library JWT Anda dengan allowlist algoritma yang eksplisit. Jangan pernah menerima alg:none, dan curigai ketidakcocokan alg pada rotasi key.

Jaga Payload Tetap Ramping

Taruh identifier dan klaim berumur pendek di JWT; simpan data besar di balik session ID opaque. Token besar memakan bandwidth di setiap request.

Pertanyaan yang Sering Diajukan