Developer yang men-debug login
Cek isi token saat login gagal, peran pengguna tidak sesuai, atau sesi habis lebih cepat dari seharusnya. Lihat exp dan iat dalam jam WIB, bukan angka detik.
Baca isi token JWT Anda.
Tempel token, lalu lihat header, payload, dan kapan token itu habis. Token dibaca di browser Anda. Tool ini tidak memverifikasi tanda tangannya.
Contoh token
HS256 · JWT
Contoh hasil. Ganti dengan target Anda di kolom sebelah kiri.
- Algoritma
- HS256
- Penerbit (iss)
- website-anda.co.id
- Subjek (sub)
- contoh-1042
- Dibuat (iat)
- 1 November 2026 pukul 10.00 WIB
- Kedaluwarsa (exp)
- 1 November 2026 pukul 11.00 WIB
- Status
- –
- Tanda tangan
- Ada, tidak diverifikasi di sini
Payload
{
"iss": "website-anda.co.id",
"sub": "contoh-1042",
"name": "Pengguna Contoh",
"role": "viewer",
"iat": 1793502000,
"exp": 1793505600
}Header
{
"alg": "HS256",
"typ": "JWT"
}Isi JWT bisa dibaca siapa saja.
JWT ditandatangani, bukan dienkripsi. Siapa pun yang memegang token bisa membaca isinya.
Bagian tengah JWT hanya di-encode dengan base64url. Kalau aplikasi menaruh email, nomor HP, atau data internal di payload, semua itu terbaca oleh siapa pun yang melihat token, termasuk dari log, URL, atau tangkapan layar.
Masalah lain lebih sunyi: token yang berlaku terlalu lama, token tanpa exp sama sekali, dan server yang menerima alg none, yaitu token tanpa tanda tangan. Token yang dicuri tetap bisa dipakai sampai masa berlakunya habis.
Contoh notifikasi SecuroxPulse untuk website-anda.co.id
- DitolakAkun Viewer membuka halaman khusus Admin, ditolak di server
- AuditPercobaan akses itu tercatat di audit log
- LoginSesi baru dibuat dengan cookie HttpOnly, SameSite=Strict
Peran dicek di server.
Di website yang kami bangun, peran Admin, Operator, dan Viewer dicek di server. Mengubah sesuatu di browser tidak memberi akses ke halaman yang bukan haknya.
Yang dibaca, dan yang tidak.
Tool ini membaca isi token. Ia tidak memutuskan apakah token itu asli.
Yang dicek
- Header: algoritma (alg), tipe (typ), dan kid kalau ada
- Payload lengkap sebagai JSON, bisa disalin
- Klaim iss, sub, dan aud
- Waktu iat, nbf, dan exp, ditampilkan dalam WIB
- Status masih berlaku, belum berlaku, atau kedaluwarsa, dihitung dari jam perangkat Anda
- Token dengan alg none, yaitu tanpa tanda tangan
- Awalan “Bearer”, spasi, dan baris baru dibuang otomatis
Yang tidak dicek di sini
- Keaslian tanda tangan. Tool ini tidak memakai secret atau public key, jadi token palsu pun tetap terbaca.
- Isi JWE, token terenkripsi yang terdiri dari 5 bagian.
- Apakah token sudah dicabut oleh server penerbitnya.
- Header keamanan seperti HSTS dan CSP: Security Headers Checker
- Membuat hash dari sebuah teks: Hash Generator
Token dibaca oleh JavaScript di browser Anda dan tidak dikirim ke server. Tetap saja, jangan tempel token produksi yang masih berlaku ke tool yang tidak Anda percayai.
Siapa yang pakai tool ini.
Orang yang perlu tahu isi token tanpa menulis kode.
Tim yang mengaudit aplikasi
Periksa apa saja yang ikut di payload. Data pribadi, peran internal, atau masa berlaku berhari-hari adalah tanda token perlu dirapikan.
Dijaga setiap menit.
Tool ini membaca satu token. Di website yang kami bangun, sesi login disimpan di cookie HttpOnly dengan SameSite=Strict, secret dienkripsi dengan AES-256-GCM, dan peran Admin, Operator, serta Viewer dicek di server.
Sudah termasuk di semua paket, mulai Secure Start.
- Monitoring uptime dan SSL 24/7
- Proteksi WAF Cloudflare
- Backup otomatis
- Notifikasi gangguan ke tim kami
Uptime 30 hari
99,97%Target SLA 99,9%Respons rata-rata
97 msDari 5 monitor aktifAncaman diblokir
312Cloudflare, 24 jamPerlu tindakan
1SSL habis 12 hari lagi| Monitor | Respons | 30 hari | Status |
|---|---|---|---|
| website-anda.co.idHTTPS · teks "Beli sekarang" | 193 ms | 99,98% | Normal |
| booking.website-anda.co.idHTTPS · teks "Booking" | 220 ms | 99,95% | Normal |
| api.website-anda.co.idTCP · port 443 | 37 ms | 100% | Normal |
| Server utamaPing | 12 ms | 99,99% | Normal |
| website-anda.co.idDNS · A record | 23 ms | 99,97% | Normal |
| Sertifikat SSLwebsite-anda.co.id | 12 hari | – | Perpanjang |
Klik baris untuk melihat detail cekNotifikasi: WhatsApp · Telegram · Email
Cara kerjanya.
Semua dihitung di browser Anda. Tidak ada permintaan ke server saat token dibaca.
- Memecah
- Awalan Bearer, spasi, dan baris baru dibuang. Token dipecah di setiap titik dan harus punya tepat 3 bagian: header, payload, dan tanda tangan.
- Decode
- Header dan payload diubah dari base64url ke teks UTF-8, lalu dibaca sebagai JSON. Huruf non-Latin di payload tetap tampil benar.
- Waktu
- iat, nbf, dan exp dibaca sebagai detik sejak 1970 dan ditampilkan dalam WIB. Status dihitung dari jam perangkat Anda dan diperbarui setiap 30 detik.
- Tanda tangan
- Hanya dicek ada atau tidak. Tool ini tidak memverifikasinya, karena untuk itu perlu secret atau public key dari penerbit token.
- alg none
- Kalau header menyebut alg none, token ditandai merah. Token seperti itu tidak bertanda tangan dan tidak boleh diterima server.
- Privasi
- Token hanya ada di memori halaman. Tidak dikirim, tidak disimpan, dan hilang saat tab ditutup.
Langkah pemeriksaan, contoh
$ baca eyJhbGciOi…LWFzbGk
→ 3 bagian, dipisah titik
← header alg HS256, typ JWT
← payload iss, sub, name, role, iat, exp
iat 1 November 2026 10.00 WIB
exp 1 November 2026 11.00 WIB
→ jam perangkat 3 November 2026
status kedaluwarsa
! tanda tangan ada, tidak diverifikasi
= payload siap disalinPertanyaan soal JWT.
Belum terjawab? Tanya lewat WhatsApp.
Apa itu JWT?
JSON Web Token: teks panjang berisi tiga bagian yang dipisahkan titik. Header menyebut algoritma, payload berisi data seperti ID pengguna dan masa berlaku, dan bagian ketiga adalah tanda tangan dari server penerbit.
Apakah tool ini memverifikasi tanda tangan?
Tidak. Tool ini hanya membaca isi token, jadi token yang dipalsukan pun tetap terbaca di sini. Verifikasi harus dilakukan di server dengan secret atau public key penerbit.
Apakah token saya dikirim ke server?
Tidak. Token dibaca oleh JavaScript di browser Anda. Halaman ini tidak mengirim isi kolom token ke mana pun.
Kenapa payload JWT bisa dibaca padahal katanya aman?
Karena JWT biasa ditandatangani, bukan dienkripsi. Tanda tangan mencegah isinya diubah, tapi tidak menyembunyikannya. Jangan taruh data rahasia di payload.
Token saya punya 5 bagian. Kenapa tidak bisa dibaca?
Itu JWE, token yang isinya dienkripsi. Isinya hanya bisa dibuka dengan kunci milik penerima, jadi tool ini tidak bisa membacanya.
Status di sini berbeda dengan di server. Kenapa?
Status dihitung dari jam perangkat Anda. Kalau jam perangkat atau server tidak tepat, hasilnya bisa berbeda.
Biar kami yang mengecek.
Kami bangun dengan secure coding, lalu SecuroxPulse menjaganya 24/7. Ceritakan website Anda, pesannya langsung masuk ke WhatsApp tim kami.