Panduan

Klaim khusus (publik vs privat)

Selain klaim terdaftar (iss, exp, ...), jenis klaim yang Anda definisikan sendiri dan cara menghindari tabrakan.

Klaim terdaftar: kumpulan standar RFC 7519 (iss, sub, aud, exp, nbf, iat, jti). Maknanya tetap dan dapat dioperasikan bersama.
Klaim publik: dipakai secara publik, terdaftar di IANA atau dengan nama tanpa tabrakan.
Klaim privat: disepakati antara pihak tertentu (role, plan, ...) — berisiko tabrakan, jadi hindari nama yang pendek dan umum.
Tips: jangan taruh data sensitif bahkan di klaim khusus, dan untuk menghindari tabrakan sebagian memakai namespace URI (mis. https://myapp.com/roles).

Coba dekode token sendiriCukup tempel dan header, payload, serta klaim langsung terbuka.

Buka dekoder

Terkait

JWT (JSON Web Token) adalah format token JSON kecil yang ditandatangani untuk menyampaikan informasi secara aman antarpihak.

Struktur tiga bagian JWT

Setiap JWT terdiri dari header.payload.signature, dan setiap bagian disandikan base64url.

Daftar periksa keamanan JWT

Daftar singkat prinsip utama untuk menggunakan JWT dengan aman.

JWT vs autentikasi sesi

Perbedaan antara autentikasi berbasis token (JWT) dan berbasis sesi server (cookie), serta kapan memakai masing-masing.

Kesalahan JWT umum dan solusinya

Kesalahan yang paling sering Anda temui saat bekerja dengan JWT, beserta penyebab dan solusinya.

Access token dan refresh token

Peran access token berumur pendek dan refresh token yang memperbaruinya.

JWS vs JWE (ditandatangani vs dienkripsi)

JWT biasanya berupa JWS yang ditandatangani; untuk menyembunyikan isi digunakan JWE yang dienkripsi. Inilah perbedaannya.

Di mana menyimpan JWT: localStorage vs cookie

Tempat Anda menyimpan JWT di peramban mengubah risiko XSS dan CSRF Anda.

JWT dalam OAuth 2.0 & OpenID Connect

Bagaimana JWT digunakan dalam OAuth 2.0 dan OpenID Connect.