Pengode / pendekode JWT

Cara menggunakan

1. Tempel token: header dan payload langsung muncul, tanpa tombol yang perlu ditekan. Apa pun yang berasal dari token tetap persis seperti saat ditandatangani — masukannya tidak pernah ditulis ulang.
2. Tambahkan rahasia di bawah masukan untuk memeriksa tanda tangan. Membiarkannya kosong berarti “belum diverifikasi”: klaimnya tetap terbaca apa adanya.
3. Beralih ke Enkode, tulis klaim Anda sebagai JSON, pilih HS256/384/512 dan rahasia, lalu salin token yang keluar. Berpindah mode tidak pernah menghapus yang sudah Anda ketik.
4. Klaim standar exp / iat / nbf dijelaskan dalam bahasa dan zona waktu Anda, dengan penanda kedaluwarsa dan belum berlaku.

Aturan, batasan, dan masalah yang diketahui

• Hanya HS256, HS384, dan HS512 yang didukung, untuk menandatangani maupun memverifikasi. Token RS*, ES*, dan PS* didekode dan ditampilkan apa adanya, tetapi tanda tangannya tidak pernah diperiksa — itu butuh kunci publik, jadi baris status mengatakannya daripada menebak.
• Token tanpa tanda tangan (alg: none) didekode dan ditandai dengan jelas, tetapi tidak pernah dibuat: meminta tanda tangan tanpa rahasia menghasilkan galat, bukan token tanpa tanda tangan.
• Enkode membangun header sendiri (`{"alg": … ,"typ": "JWT"}`). Bidang header seperti kid, jku, x5c, atau cty tidak dibawa — alat ini menandatangani klaim, bukan rantai sertifikat.
• JSON klaim Anda diserialkan ulang secara ringkas sebelum ditandatangani, sehingga indentasi dan komentar tidak masuk ke token. Urutan kunci mengikuti objek JavaScript: kunci berulang menyusut ke yang terakhir, dan kunci yang tampak angka pindah ke depan.
• Bilangan bulat yang sangat besar kehilangan presisi — `12345678901234567890` kembali dalam bentuk dibulatkan, karena begitulah angka JavaScript. Tidak ada yang dikoreksi diam-diam; pakai string bila digit persis penting.
• Klaim ditampilkan menjorok agar mudah dibaca, sedangkan tanda tangan mencakup segmen mentah persis seperti di token. Tidak ada yang dienkode ulang di belakang layar, jadi token yang terverifikasi di sini juga terverifikasi di kode Anda.
• Base64url bersifat ketat: `+`, `/`, dan `=` dilaporkan sebagai galat, bukan diterima diam-diam, dan byte yang bukan UTF-8 dilaporkan, bukan diganti dengan karakter pengganti. Spasi di dalam token yang ditempel diabaikan, karena token memang tidak pernah memuatnya.
• JWE terenkripsi (lima bagian) tidak didekripsi — Anda diberi tahu bahwa itulah yang Anda tempel.
• Batas ukuran 10.000 karakter. Tidak ada yang diunggah, disimpan, ditulis ke URL, atau dibagikan: tombol bagikan hanya membagikan alamat halaman ini, tidak pernah token atau rahasia Anda.