Dekode header dan payload JWT, periksa claim dan kedaluwarsanya — tanpa token meninggalkan browser Anda.
JSON Web Token (JWT, RFC 7519) adalah tiga segmen berenkode Base64URL yang dipisahkan titik: header yang menyebutkan algoritme penandatanganan, payload yang membawa claim — siapa yang menerbitkan token, untuk siapa, dan sampai kapan berlaku — dan tanda tangan. JWT adalah kredensial bearer standar OAuth 2.0 dan OpenID Connect, itulah sebabnya men-debug alur login atau integrasi API begitu sering dimulai dari pertanyaan: sebenarnya apa isi token ini?
Dekoder ini memecah token pada titik-titiknya, memulihkan padding Base64URL, mendekode tiap segmen sebagai UTF-8, dan menampilkan JSON-nya dengan rapi. Ia menyorot claim terdaftar — iss (issuer), sub (subject), aud (audience), iat (issued at), nbf (not before), dan exp (expiration) — mengubah timestamp numeriknya, yang menghitung detik sejak Unix epoch, menjadi tanggal UTC yang mudah dibaca. Waktu kedaluwarsa juga dibandingkan dengan jam Anda, sehingga statusnya langsung memberi tahu apakah token masih berlaku dan untuk berapa lama, atau sudah berapa lama kedaluwarsa. Input yang cacat menghasilkan pesan kesalahan yang jelas dan ramah, bukan exception yang membingungkan.
Satu hal harus dikatakan sekeras mungkin: mendekode JWT bukan memvalidasinya. Header dan payload hanyalah berenkode Base64URL — siapa pun bisa membacanya dan siapa pun bisa memalsukannya. Hanya tanda tangan, yang diperiksa terhadap kunci rahasia atau kunci publik penerbit, yang membuktikan sebuah token asli, dan tool ini sengaja tidak melakukannya: verifikasi tanda tangan tempatnya di server Anda, dengan pustaka JWT yang layak. Untuk alasan yang sama, jangan pernah menaruh password atau rahasia lain di payload JWT — dienkode bukan berarti dienkripsi. Token yang Anda tempel di sini didekode sepenuhnya di browser Anda dan tidak pernah dikirim, tetapi perlakukan token produksi sebagai kredensial sebagaimana adanya.
Tidak — ia hanya mendekode header dan payload, dan mengatakannya di setiap hasil. Token yang terdekode tidak membuktikan apa pun soal keaslian: verifikasi tanda tangannya di server Anda dengan kunci penerbit dan pustaka JWT yang layak sebelum memercayai claim mana pun.
Tidak. Pada JWT bertanda tangan standar (JWS), header dan payload hanya berenkode Base64URL, terbaca oleh siapa pun yang memegang token. JWT terenkripsi (JWE) memang ada tetapi jarang; jangan pernah menyimpan rahasia di payload JWT biasa.
Ketiganya timestamp dalam detik sejak Unix epoch: iat adalah saat token diterbitkan, nbf adalah momen sebelum mana token harus ditolak, dan exp adalah saat token kedaluwarsa. Tool ini mengubah ketiganya menjadi tanggal UTC yang mudah dibaca dan menghitung status kedaluwarsanya untuk Anda.
Penyebab paling umum adalah menempel sesuatu yang bukan JWT kompak (harus punya tepat tiga bagian yang dipisahkan titik), token terpotong saat salin-tempel, atau ada karakter ekstra di sekitarnya. Awalan "Bearer " ditangani otomatis; apa pun selain itu di sekitar token tidak.
Tidak. Dekode terjadi 100% secara lokal dalam JavaScript — token tidak pernah dikirim, dicatat, atau disimpan. Meski begitu, JWT produksi adalah kredensial hidup: hindari membagikan tangkapan layarnya dan cabut token yang Anda curigai terekspos.
Vai.la mengubah URL apa pun menjadi tautan pendek dengan statistik klik, QR Code, dan biolink Anda sendiri.
Vai.la tidak bertanggung jawab atas cara alat-alat ini digunakan maupun atas keputusan yang diambil berdasarkan hasilnya.