Panduan

JWS vs JWE (ditandatangani vs dienkripsi)

JWT biasanya berupa JWS yang ditandatangani; untuk menyembunyikan isi digunakan JWE yang dienkripsi. Inilah perbedaannya.

JWS (ditandatangani): hanya menandatangani header dan payload. Isinya base64url dan bisa dibaca siapa saja; hanya perubahan yang diverifikasi — inilah JWT yang biasa Anda lihat.
JWE (dienkripsi): mengenkripsi payload untuk menyembunyikan isi. Tidak terbaca tanpa kunci, dipakai untuk data sensitif, dengan struktur lima bagian (empat titik).
Sebagian besar 'JWT' adalah JWS. Dekoder ini mendekode JWS (JWE butuh kunci dekripsi).
Singkatnya: hanya butuh integritas → JWS; butuh kerahasiaan juga → JWE (atau JWS di atas TLS).

Coba dekode token sendiriCukup tempel dan header, payload, serta klaim langsung terbuka.

Buka dekoder

Terkait

JWT (JSON Web Token) adalah format token JSON kecil yang ditandatangani untuk menyampaikan informasi secara aman antarpihak.

Struktur tiga bagian JWT

Setiap JWT terdiri dari header.payload.signature, dan setiap bagian disandikan base64url.

Daftar periksa keamanan JWT

Daftar singkat prinsip utama untuk menggunakan JWT dengan aman.

JWT vs autentikasi sesi

Perbedaan antara autentikasi berbasis token (JWT) dan berbasis sesi server (cookie), serta kapan memakai masing-masing.

Kesalahan JWT umum dan solusinya

Kesalahan yang paling sering Anda temui saat bekerja dengan JWT, beserta penyebab dan solusinya.

Access token dan refresh token

Peran access token berumur pendek dan refresh token yang memperbaruinya.

Di mana menyimpan JWT: localStorage vs cookie

Tempat Anda menyimpan JWT di peramban mengubah risiko XSS dan CSRF Anda.

Klaim khusus (publik vs privat)

Selain klaim terdaftar (iss, exp, ...), jenis klaim yang Anda definisikan sendiri dan cara menghindari tabrakan.

JWT dalam OAuth 2.0 & OpenID Connect

Bagaimana JWT digunakan dalam OAuth 2.0 dan OpenID Connect.