Anatomi JWT: Header, Payload, Tanda Tangan

JSON Web Token (JWT) adalah format token ringkas yang aman digunakan dalam URL dan didefinisikan dalam RFC 7519. JWT mengodekan klaim (pernyataan tentang suatu subjek) dan tanda tangan kriptografis dalam satu string sehingga memungkinkan autentikasi tanpa status.

JWT berbentuk: base64url(header).base64url(payload).base64url(signature). Titik memisahkan bagian-bagian tersebut. Header dan payload dapat dibaca (base64url, bukan dienkripsi). Hanya signature yang bersifat kriptografis.

Header adalah objek JSON: {"alg":"HS256","typ":"JWT"}. alg menentukan algoritma penandatanganan (HS256, RS256, ES256, none). typ selalu bernilai "JWT". Header tambahan mencakup kid (ID kunci) untuk pemilihan kunci.

Klaim terdaftar standar: iss (penerbit), sub (subjek), aud (audiens), exp (stempel waktu kedaluwarsa Unix), nbf (belum berlaku sebelum), iat (diterbitkan pada), jti (ID JWT untuk pencabutan). Klaim khusus adalah pasangan kunci-nilai tambahan apa pun.

import base64, json token = "eyJ..." parts = token.split(".") header = json.loads(base64.urlsafe_b64decode(parts[0]+"==")) payload = json.loads(base64.urlsafe_b64decode(parts[1]+"==")) print(header, payload)

Untuk HS256: HMAC-SHA256(base64url(header)+"."+base64url(payload), secret). Penerima menghitung ulang nilai ini dan membandingkannya dengan bagian signature. Jika keduanya cocok dan token belum kedaluwarsa, token tersebut valid.

Untuk RS256: kunci privat menandatangani string header.payload menggunakan RSA-SHA256. Siapa pun yang memiliki kunci publik dapat melakukan verifikasi tanpa kunci privat. Kunci publik didistribusikan melalui endpoint JWKS (JSON Web Key Set), misalnya /.well-known/jwks.json.

Base64url mengganti + dengan - dan / dengan _, serta menghilangkan padding =. Dengan demikian, JWT aman digunakan dalam URL, header HTTP, dan cookie tanpa pengodean persen. Byte mentahnya tetap tidak dienkripsi — hanya dikodekan.

Payload JWT dapat dilihat oleh siapa pun yang mendekodekannya dari base64url. Jangan pernah memasukkan rahasia (kata sandi, SSN) ke dalam payload JWT, kecuali Anda menggunakan JWE (JSON Web Encryption) dengan algoritma "enc" untuk enkripsi sebenarnya.

Atur exp ke durasi singkat (15–60 menit untuk token akses). JWT berumur panjang menambah risiko — jika dicuri, token tersebut tetap valid hingga kedaluwarsa. Gunakan token penyegaran (disimpan dengan aman) untuk menerbitkan token akses baru yang berumur singkat.

Penyedia autentikasi (Auth0, Keycloak, Google) menerbitkan URL JWKS. Pemverifikasi mengambil kunci publik berdasarkan kid, menyimpannya dalam cache, dan memverifikasi tanda tangan tanpa menghubungi penerbit pada setiap permintaan. Rotasi kunci memperbarui endpoint JWKS.

JWT terdiri dari tiga bagian JSON yang dikodekan dengan base64url: header (algoritma), payload (klaim), dan signature. Payload dapat dibaca — bukan dienkripsi. Berikutnya: memilih antara HS256 dan RS256.