Pemeriksa Tanda Tangan JWT

Secret digunakan persis seperti yang diketik

Field secret dibaca sebagai teks UTF-8, karakter demi karakter. Spasi atau newline di akhir yang ikut tersalin dapat membuat token valid gagal diverifikasi. Beberapa platform menampilkan key HMAC dalam encoding Base64; jika verifikasi gagal dengan key yang Anda yakini benar, encoding tersebut biasanya penyebabnya, dan key yang byte mentahnya bukan teks tidak dapat dimasukkan di sini.

RFC 7518 mewajibkan key HMAC setidaknya sepanjang output hash, yaitu 32 byte untuk HS256, sehingga secret pendek seperti secret hanya cocok untuk pengujian.

Yang tidak dapat disimpulkan dari hasil valid

Pemeriksaan hanya mencakup signature. Token yang kedaluwarsa tahun lalu tetap ditampilkan sebagai valid, jadi bandingkan claim exp dengan waktu saat ini di halaman timestamp Unix, lalu periksa iss dan aud sesuai yang diharapkan service Anda.

Token yang ditandatangani dengan RS256, ES256, atau algoritma public-key lainnya tidak diverifikasi di sini. Token tersebut memerlukan public key milik issuer, yang biasanya dipublikasikan oleh identity provider sebagai JSON Web Key Set; decoder JWT tetap dapat membaca claim-nya.

Cara menggunakannya

1. Tempel string token JWT yang di-encode Base64.
2. Masukkan secret key HMAC Anda.
3. Tinjau header dan payload yang telah didekode, serta badge verifikasi tanda tangan live.

Privasi & batasan

Token dan secret key diproses sepenuhnya di memori klien dan tidak pernah dikirim melalui jaringan.