JWT Decoder - JSON Web Tokens

JSON Web Token (JWT) adalah kredensial. Aplikasi ini mendekode JWT, menjelaskan isinya,

dan memeriksa tanda tangannya — sepenuhnya di perangkat Anda, tanpa akses jaringan sendiri.

DEKODE APA PUN YANG BERBENTUK TOKEN

Tempel token, atau kirim token ke sini dari aplikasi lain: pilih token di log, perintah curl, header Otorisasi, atau respons JSON, lalu gunakan Bagikan atau item Dekode JWT di menu teks. Token akan diekstrak dari teks di sekitarnya.

Token yang ditandatangani (JWS) dan yang dienkripsi (JWE) keduanya dikenali. Klaim JWE tidak dapat dibaca tanpa kunci pribadi penerima, jadi aplikasi akan menyatakannya dan menunjukkan apa yang diungkapkan oleh header yang dilindungi, alih-alih menyebut token yang valid sebagai token yang rusak.

Ketika token rusak, Anda tetap mendapatkan apa yang dapat dibaca: muatan yang terpotong tidak menghentikan header yang menyebutkan algoritma dan ID kunci.

BACA KLAIMNYA, BUKAN BASE64

Setiap klaim yang terdaftar diberi nama dan dijelaskan: penerbit, subjek, audiens,

kedaluwarsa, tidak sebelum, diterbitkan pada, ID token. Klaim waktu ditampilkan sebagai tanggal sebenarnya ditambah

seberapa jauh — "kedaluwarsa 4 jam yang lalu", "dalam 12 menit" — dalam waktu lokal, UTC atau detik mentah.

Audiens berfungsi baik berupa string tunggal atau daftar. Sekitar sembilan puluh nama klaim dikenali, termasuk set OpenID Connect dan vendor dari

Microsoft Entra, Firebase, AWS Cognito, Auth0, dan Keycloak, sehingga Anda dapat mengetahui

sistem mana yang mencetak token tersebut.

PERIKSA TANDA TANGAN

• HS256, HS384, HS512 terhadap kunci rahasia bersama — sebagai teks, base64, base64url atau

heksadesimal, yang Anda pilih daripada aplikasi yang menebak

• RS256/384/512, PS256/384/512, ES256/384/512 dan ES256K terhadap kunci publik

• Kunci diterima sebagai PEM, sertifikat X.509, JWK, atau seluruh jwks.json —

dalam hal ini ID kunci token sendiri memilih entri yang tepat

Keputusannya tidak pernah hanya ya atau tidak. "Tidak cocok", "jenis kunci salah",

"kurva salah" dan "algoritma ini tidak dapat diperiksa di sini" adalah empat jawaban berbeda,

dan Anda mendapatkan jawaban yang benar. Tanda tangan yang terverifikasi tetapi dienkode DER

bukan dalam bentuk mentah seperti yang diinginkan JOSE dilaporkan sebagai valid, dan

tetap akan ditolak di tempat lain.

KETAHUI APA YANG SALAH DENGANNYA

Tiga puluh lima temuan, masing-masing dijelaskan dalam satu kalimat daripada menggunakan jargon:

• "alg" diatur ke none, sehingga siapa pun dapat mencetak token

• nama algoritma yang kapitalisasinya tidak sesuai dengan algoritma terdaftar mana pun

• kunci yang tertanam dalam header, atau header yang mengarah ke kunci jarak jauh

• ekstensi "crit" yang harus dipahami oleh verifikator dan tidak dipahami

• "nbf" pada atau setelah "exp", sehingga tidak ada momen di mana token tersebut valid

• "exp" dipancarkan dalam milidetik — atau mikrodetik, atau nanodetik

• klaim yang sama muncul dua kali, yang diselesaikan secara berbeda oleh pustaka yang berbeda

• tidak ada audiens, sehingga tidak ada yang mengikat token ke layanan yang menerimanya

• tanda tangan ECDSA dengan panjang yang salah untuk kurvanya

• dan yang perlu didengar banyak orang: muatannya ditandatangani, bukan

dienkripsi. Siapa pun yang memegang token dapat membaca setiap klaim di dalamnya.

DIRANCANG UNTUK SESUATU YANG TIDAK ANDA PERCAYA

Tidak ada token, kunci, atau rahasia yang pernah ditransmisikan, dan kunci serta rahasia tidak pernah

ditulis ke penyimpanan sama sekali — keduanya hanya ada selama layar terbuka.

Token terbaru disimpan di perangkat sehingga Anda dapat kembali ke sana. Daftar tersebut menampilkan

token yang disembunyikan dan meminta konfirmasi sebelum menampilkannya; penyimpanan dibatasi dan dapat dihapus,

dan dikecualikan dari pencadangan cloud Android dan transfer antar perangkat, sehingga

token yang tersimpan tidak pernah meninggalkan ponsel. Mematikan fitur ini akan menghapus apa yang

sudah ada di sana.

JUGA

• Terang dan gelap, mengikuti pengaturan sistem Anda

• Sepuluh bahasa

• Muatan dan header berwarna sintaksis, angka ditampilkan persis seperti yang ditulis

• Toleransi penyimpangan waktu yang dapat dikonfigurasi, sehingga keputusannya sesuai dengan apa yang akan diputuskan oleh server

dengan waktu yang sedikit berbeda

• Token bersarang: jika muatannya sendiri adalah JWT, buka