Debugger / Dekoder JWT

Tempel JWT apa pun untuk mendekode tiga bagiannya yang dipisahkan titik — header, payload, dan tanda tangan base64url ditampilkan sebagai JSON yang dicetak rapi dengan klaim terdaftar (exp, iat, nbf dan lainnya) dikonversi ke waktu lokal Anda. Anda kemudian dapat memverifikasi tanda tangan dengan API WebCrypto: HMAC (HS256/384/512) dengan rahasia, atau RSA/ECDSA (RS256/384/512, ES256/384/512) dengan kunci publik PEM, dan token HS256 contoh tersedia dengan satu klik untuk eksperimen. Semuanya berjalan secara lokal — token, rahasia, dan kunci tidak pernah dikirim ke mana pun.
Token JWT Format: header.payload.signature (tiga segmen base64url).
Didekode
Header
Payload
Tanda tangan (segmen base64url mentah)
Peringatan: token ini menyatakan alg:none, yang berarti tidak ditandatangani. Layanan sungguhan harus menolak token yang tidak ditandatangani — perlakukan sebagai tidak tepercaya.
Klaim terdaftar
KlaimNilaiInterpretasi
Verifikasi tanda tangan
Rahasia
crypto.subtle tidak tersedia dalam konteks ini, sehingga verifikasi tanda tangan dinonaktifkan. Buka halaman melalui https: atau dari berkas lokal untuk mengaktifkannya. Dekode tetap berfungsi.
Cara membaca hasil: header biasanya memuat alg (algoritma penandatanganan) dan typ. Klaim terdaftar yang ditampilkan dengan konversi waktu lokal adalah iat (diterbitkan pada), nbf (tidak sebelum) dan exp (kedaluwarsa) — lencana merah berarti token sudah kedaluwarsa, kuning berarti kedaluwarsa dalam 24 jam. Verifikasi tanda tangan menghitung MAC yang sama seperti yang akan dihitung penerbit, atau memeriksa kunci publik RSA/ECDSA yang Anda tempel, lalu menandai token sebagai VALID atau INVALID. Hanya algoritma yang diimplementasikan oleh lapisan WebCrypto browser yang dapat diverifikasi; selain itu dilaporkan sebagai tidak didukung alih-alih ditebak.

Klaim terdaftar yang umum: sub (subjek) adalah pengguna atau entitas yang dimaksud token — dalam contoh Anda hanya berupa ID numerik, tetapi layanan sering menaruh email, nama pengguna, atau UUID di sini. iss menamai penerbit, aud menamai audiens yang dituju, dan jti adalah ID token unik yang digunakan untuk mencegah replay. Klaim ini tidak dienkripsi; siapa pun yang memiliki token dapat membacanya, sehingga jangan pernah menaruh kata sandi atau rahasia di payload JWT.

Privasi: dekode dan verifikasi terjadi sepenuhnya di halaman ini dengan API WebCrypto — token, rahasia Anda, dan kunci publik apa pun tidak pernah dikirim. Untuk token alg:none, halaman menampilkan peringatan yang jelas: token tanpa tanda tangan tidak boleh pernah diterima oleh API sungguhan.