Is it safe to paste a JWT into this tool?

Yes. Decoding runs entirely in your browser with no network calls — you can verify this by disconnecting from the internet and reloading the page. Even so, avoid pasting production tokens anywhere as general hygiene.

Does parsing a JWT verify its signature?

No. Parsing only base64url-decodes the header and payload. Verifying the signature requires the signing key (HMAC secret or public key), which only your auth server holds.

Why can anyone read my JWT payload?

JWT payloads are encoded, not encrypted. Anyone holding the token can decode and read the claims — that is by design. Never store secrets or sensitive data inside a JWT payload.

How do I know when a token expires?

Check the exp claim — a Unix timestamp after which the token must be rejected. This parser highlights token status (active, expired, or not yet valid) based on exp and nbf automatically.

Parser JWT

Dekode dan periksa JSON Web Tokens (JWT) dengan validasi waktu nyata. Lihat informasi header, payload, dan tanda tangan dengan aman.

Enter JWT Token

How to Use the JWT Parser

Paste Token

Paste your JWT token in the input area

Auto Decode

Token automatically decodes on paste

Inspect Parts

View header, payload, and signature data

Check Status

Verify token validity and expiration time

Understanding JWT Tokens

Apa itu JWT?

JSON Web Token (JWT) is a compact, URL-safe means of representing claims to be transferred between two parties. It consists of three parts: header, payload, and signature, separated by dots and base64url encoded.

• Header: Contains token type and signing algorithm
• Payload: Contains claims or user data
• Signature: Verifies token wasn't tampered with
• Stateless: No server-side session storage needed

Why Parse JWTs?

JWT parsing is essential for debugging authentication issues, verifying token contents, checking expiration times, and understanding what data is being transmitted in tokens.

• Debugging: Inspect token contents during development
• Security: Verify token structure and claims
• Expiration: Check token validity period
• Development: Understand authentication flow

Referensi Klaim JWT Standar

Nama klaim terdaftar yang didefinisikan oleh RFC 7519 yang akan Anda lihat di hampir setiap payload token.

Klaim	Nama Lengkap	Makna
iss	Penerbit	Siapa yang membuat dan menandatangani token
sub	Subjek	Tentang siapa token tersebut — biasanya ID pengguna
aud	Audiens	Untuk siapa token ditujukan (klien atau API)
exp	Kedaluwarsa	Timestamp Unix setelahnya token harus ditolak
nbf	Tidak Sebelum	Timestamp Unix sebelumnya token tidak valid
iat	Diterbitkan Pada	Timestamp Unix saat token dibuat
jti	JWT ID	Pengidentifikasi unik, berguna untuk daftar pencabutan

Algoritma JWT yang Umum

• HS256 (HMAC + SHA-256): Simetris — satu rahasia bersama menandatangani dan memverifikasi. Sederhana, tetapi siapa pun yang memegang rahasianya dapat memalsukan token.
• RS256 (RSA + SHA-256): Asimetris — kunci privat menandatangani, kunci publik memverifikasi. Pilihan standar untuk sistem terdistribusi.
• ES256 (ECDSA + SHA-256): Asimetris seperti RS256 tetapi dengan tanda tangan jauh lebih pendek — pilihan modern yang bagus.
• tidak ada: Token tanpa tanda tangan. Harus ditolak oleh verifikator serius mana pun; secara historis menjadi sumber celah keamanan kritis.

Catatan Keamanan

• Jangan pernah menempelkan token produksi ke alat yang tidak dikenal. Parser ini berjalan sepenuhnya di browser Anda (cek: ia bekerja offline), tetapi itu tidak berlaku untuk semua situs.
• JWT tidak dienkripsi. Payload hanya dienkode base64url — siapa pun yang memiliki token dapat membacanya. Jangan pernah menyimpan rahasia dalam klaim.
• Mendekode bukanlah memverifikasi. Struktur yang tampak valid tidak menjamin tanda tangan sah. Verifikasi memerlukan kunci, yang tidak pernah meninggalkan server autentikasi Anda.
• Periksa exp di sisi server. Menolak token kedaluwarsa adalah tugas verifikator, bukan klien.

Instant Decoding

Auto-decode JWT on paste with color-coded sections.

100% Privat

All decoding happens in your browser. Tokens never leave your device.

Sepenuhnya Gratis

No registration or limits. Parse JWT tokens freely anytime.

FAQ Parser JWT

Apakah aman menempelkan JWT ke alat ini?

Ya. Decoding berjalan sepenuhnya di browser Anda tanpa panggilan jaringan apa pun — Anda bisa memverifikasinya dengan memutus internet lalu memuat ulang halaman. Meski begitu, hindari menempelkan token produksi di mana pun sebagai kebiasaan keamanan dasar.

Apakah mem-parsing JWT memverifikasi tandatangannya?

Tidak. Parsing hanya melakukan base64url-decode pada header dan payload. Memverifikasi tanda tangan memerlukan kunci penandatanganan (rahasia HMAC atau kunci publik), yang hanya dimiliki oleh server autentikasi Anda.

Mengapa siapa pun bisa membaca payload JWT saya?

Payload JWT dienkode, tidak dienkripsi. Siapa pun yang memegang token bisa mendekode dan membaca claim-nya — memang dirancang demikian. Jangan pernah menyimpan rahasia atau data sensitif di dalam payload JWT.

Bagaimana saya tahu kapan token kedaluwarsa?

Periksa claim exp — sebuah Unix timestamp yang setelahnya token harus ditolak. Parser ini otomatis menyoroti status token (aktif, kedaluwarsa, atau belum valid) berdasarkan exp dan nbf.

Parser JWT

Header

Payload

Tanda Tangan

Invalid Token