JWT Encoder & Generator

Apa Itu JWT Encoder?

// Sign a JWT in the browser with the Web Crypto API (HS256)
async function encodeJwt(payload, secret) {
  const b64url = (bytes) =>
    btoa(String.fromCharCode(...new Uint8Array(bytes)))
      .replace(/\+/g, '-').replace(/\//g, '_').replace(/=+$/, '');
  const enc = (obj) =>
    b64url(new TextEncoder().encode(JSON.stringify(obj)));

  const header = { alg: 'HS256', typ: 'JWT' };
  const signingInput = `${enc(header)}.${enc(payload)}`;

  const key = await crypto.subtle.importKey(
    'raw', new TextEncoder().encode(secret),
    { name: 'HMAC', hash: 'SHA-256' }, false, ['sign']);
  const sig = await crypto.subtle.sign(
    'HMAC', key, new TextEncoder().encode(signingInput));

  return `${signingInput}.${b64url(sig)}`;
}

const token = await encodeJwt({ sub: 'user_123', exp: 1999999999 }, 'my-secret');
// → eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzEyMyIsImV4cCI6MTk5OTk5OTk5OX0....

Fitur Utama

Contoh

{
  "sub": "user_123",
  "name": "Alice",
  "role": "admin",
  "iat": 1715000000,
  "exp": 1999999999
}
secret: a-string-secret-at-least-256-bits-long

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzEyMyIsIm5hbWUiOiJBbGljZSIsInJvbGUiOiJhZG1pbiIsImlhdCI6MTcxNTAwMDAwMCwiZXhwIjoxOTk5OTk5OTk5fQ.<HMAC-SHA256 signature>

{
  "iss": "https://auth.example.com",
  "aud": "api.example.com",
  "sub": "90087165",
  "scope": "read:user write:post",
  "iat": 1715000000,
  "exp": 1999999999
}
private key: -----BEGIN PRIVATE KEY----- (PKCS8)

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwczovL2F1dGguZXhhbXBsZS5jb20iLCJhdWQiOiJhcGkuZXhhbXBsZS5jb20iLCJzdWIiOiI5MDA4NzE2NSIsInNjb3BlIjoicmVhZDp1c2VyIHdyaXRlOnBvc3QiLCJpYXQiOjE3MTUwMDAwMDAsImV4cCI6MTk5OTk5OTk5OX0.<RSA signature>

{
  "sub": "device-42",
  "iat": 1715000000,
  "exp": 1999999999
}
private key: -----BEGIN PRIVATE KEY----- (P-256)

eyJhbGciOiJFUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJkZXZpY2UtNDIiLCJpYXQiOjE3MTUwMDAwMDAsImV4cCI6MTk5OTk5OTk5OX0.<ECDSA P-256 signature>

Cara Menggunakan

1. 1

   Edit Klaim Payload

   Tulis klaim yang dibutuhkan token Anda sebagai JSON di editor payload. Gunakan chip klaim cepat untuk menyisipkan iss, sub, aud, iat, nbf, atau exp satu jam tanpa mengetik timestamp.

2. 2

   Pilih Algoritma & Masukkan Key

   Pilih algoritma penandatanganan. Untuk HS256/384/512 masukkan secret; untuk algoritma RS, PS, atau ES tempel private key PKCS8 PEM. Token ditandatangani secara lokal saat Anda mengetik.

3. 3

   Salin JWT yang Ditandatangani

   Token yang ditandatangani muncul instan, diberi kode warna per segmen. Klik Salin untuk mengangkatnya ke header Authorization, perintah curl, atau test. Key Anda tidak pernah meninggalkan browser.

Common Errors

secret: "password123"  // guessable, low entropy

secret: base64(crypto.randomBytes(32))  // >=256 random bits

{ "sub": "user_123", "role": "admin" }  // no exp

{ "sub": "user_123", "role": "admin", "exp": 1715003600 }

-----BEGIN RSA PRIVATE KEY-----  // PKCS1, not supported

openssl pkcs8 -topk8 -nocrypt -in pkcs1.pem -out pkcs8.pem

Kasus Penggunaan Umum

Buat Token untuk Testing API

Buat Bearer token HS256 dalam hitungan detik untuk menguji endpoint terproteksi dari curl, Postman, atau test integrasi.

Reproduksi Token OAuth & OIDC

Susun token RS256 atau ES256 yang mencerminkan apa yang diterbitkan server otorisasi Anda, sehingga Anda bisa mendebug ketidakcocokan klaim dan audience.

Buat Test Fixture

Hasilkan token deterministik yang ditandatangani untuk unit dan test integrasi tanpa menyiapkan server auth lengkap.

Debug Kegagalan Otorisasi

Buat ulang bentuk token pelanggan — issuer, audience, scope, kedaluwarsa — untuk menemukan kenapa backend menolaknya.

Validasi Verifier

Tandatangani token dengan key yang diketahui untuk memastikan middleware verifikasi Anda menerima token valid dan menolak yang dimanipulasi.

Prototipe Alur Auth

Beri rekan tim token siap pakai sambil merangkai login baru, microservice, atau panggilan antar layanan.

Detail Teknis

Sesuai RFC 7519 / 7515 / 7518

Menghasilkan token JWS yang sesuai RFC 7519 (JWT), RFC 7515 (JWS), dan RFC 7518 (JWA), dengan identifier algoritma terdaftar di header.

Penandatanganan Web Crypto Native

Menandatangani lewat crypto.subtle untuk HMAC, RSASSA-PKCS1-v1_5, RSA-PSS, dan ECDSA. Tanda tangan ECDSA dipancarkan sebagai raw r||s, persis seperti yang dituntut JWS.

Base64URL, Nol Dependensi

Header dan payload di-encode Base64URL dengan alfabet URL-safe (RFC 4648), tanpa padding. Tanpa library eksternal, tanpa panggilan jaringan, tanpa telemetri.

Praktik Terbaik

Selalu Setel Kedaluwarsa

Sertakan klaim exp agar token yang bocor berhenti valid. Masa hidup pendek mengecilkan radius dampak — hitungan menit untuk access token, bukan hari.

Jauhkan Rahasia dari Payload

Payload JWT bisa dibaca siapa pun yang memegang token. Taruh identifier dan scope di dalamnya; jangan pernah password, API key, atau PII utuh.

Tandatangani di Sisi Server di Production

Gunakan alat ini untuk test dan debugging. Di sistem sungguhan, tandatangani token di server dengan library terpelihara dan key dari secrets manager Anda.

Pertanyaan yang Sering Diajukan