Decode JWT

Tidak — dan untuk halaman ini, itulah intinya, bukan sekadar fitur. JWT biasanya adalah kredensial yang masih berlaku: siapa pun yang memegangnya bisa bertindak sebagai Anda sampai token itu kedaluwarsa. Menempelkannya ke decoder online yang mengirimkannya ke server sama dengan menyerahkan kunci yang masih berfungsi, dan tidak ada janji tentang tidak mencatat log yang bisa membatalkannya. Decoder ini hanyalah JavaScript biasa di halaman yang sedang Anda lihat. Tidak ada yang disimpan, tidak ada yang dicatat, tidak ada permintaan yang dikirim. Setelah halaman dimuat, matikan Wi-Fi Anda dan alat ini tetap bekerja persis sama. Itulah cara paling sederhana untuk membuktikan sendiri klaim privasi ini, alih-alih sekadar memercayai kata-kata kami.

Tidak, dan tidak ada decoder online yang bisa melakukannya dengan jujur tanpa kunci penandatangan Anda. Men-decode dan memverifikasi adalah dua operasi yang sama sekali berbeda. Men-decode hanya membalik Base64 token — siapa pun bisa melakukannya pada token apa pun, dan itu sama sekali tidak membuktikan apakah token tersebut asli. Memverifikasi berarti menghitung ulang signature dengan secret atau public key yang menandatanganinya, dan kunci itu tidak boleh ditempel ke situs web mana pun. Yang Anda lihat di sini adalah apa yang DIKLAIM token. Apakah klaim itu bisa dipercaya adalah pertanyaan yang hanya bisa dijawab oleh server Anda, yang memegang kuncinya.

Bisa — sepenuhnya, dan hal ini sering mengejutkan orang. JWT itu ditandatangani, bukan dienkripsi. Header dan payload-nya berupa Base64, yaitu encoding tanpa rahasia apa pun, jadi siapa pun yang mencegat token bisa membaca setiap klaim di dalamnya. Signature mencegah mereka MENGUBAH token; signature sama sekali tidak mencegah mereka MEMBACANYA. Jangan pernah menaruh hal rahasia di payload JWT: tidak ada kata sandi, tidak ada nomor kartu, tidak ada data pribadi yang tidak akan Anda tulis di kartu pos.

Artinya token menyatakan dirinya tidak ditandatangani, dan ini salah satu temuan paling serius yang dilaporkan halaman ini. `alg: none` adalah cara membobol autentikasi yang sudah terdokumentasi: penyerang mengambil token asli, mengubah payload-nya agar menyatakan dirinya administrator, mengatur algoritmanya menjadi "none", menghapus signature-nya, dan library yang memercayai header akan menerimanya. Setiap library JWT yang serius kini memblokir hal ini secara default, tetapi implementasi yang memercayai `alg` masih ada. Token yang datang dengan `alg: none` harus diperlakukan sebagai serangan sampai terbukti sebaliknya.

Sudah dilakukan untuk Anda. `exp`, `iat`, dan `nbf` adalah timestamp Unix — detik sejak 1970 — yang tidak bisa dibaca sebagai angka mentah. Masing-masing ditampilkan sebagai tanggal sungguhan di zona waktu Anda, beserta berapa lama yang lalu atau berapa lama lagi, dan token yang kedaluwarsa dinyatakan dengan jelas, bukan dibiarkan untuk Anda hitung sendiri. Token tanpa `exp` sama sekali juga ditandai: JWT yang tidak pernah kedaluwarsa tidak bisa dicabut lewat masa berlaku, dan tetap valid selama kunci penandatangannya masih berlaku.

Berarti itu JWE — dienkripsi, bukan sekadar ditandatangani — dan isinya memang tidak bisa dibaca tanpa kunci dekripsi. Halaman ini mengenali bentuknya dan memberi tahu Anda, alih-alih menampilkan data tak bermakna. Lima bagian berarti payload-nya adalah ciphertext sungguhan; tidak ada yang bisa di-decode.

Klaim yang terdaftar adalah: `iss` siapa yang menerbitkannya, `sub` siapa yang dibicarakan (biasanya ID pengguna), `aud` untuk siapa token itu, `exp` kapan kedaluwarsa, `nbf` tidak berlaku sebelum, `iat` kapan diterbitkan, dan `jti` ID unik untuk token tersebut. Semua klaim lainnya adalah klaim khusus dari siapa pun yang membangun sistemnya. Setiap klaim terdaftar diberi label beserta artinya di hasil, jadi Anda tidak perlu mengingat singkatan tiga huruf mana yang berarti apa.