Banyak developer pertama kali melihat JWT lalu berpikir:
“Wah aman, datanya sudah terenkripsi.”
Padahal kenyataannya:
JWT umumnya tidak dienkripsi. JWT biasanya hanya encoded dan signed.
Ini kesalahpahaman yang sangat umum, bahkan di kalangan developer berpengalaman. Akibatnya, banyak sistem tanpa sadar menyimpan data sensitif di dalam token karena mengira payload tidak bisa dibaca.
Padahal:
Artikel ini membahas:
mengapa JWT tetap aman walau bisa dibaca,
bagaimana signature bekerja,
kenapa JWT bukan tempat menyimpan data rahasia,
dan bagaimana memahami JWT dengan cara yang benar.
Apa Itu JWT?
JWT atau JSON Web Token adalah format token berbasis JSON yang biasa digunakan untuk:
Bentuk JWT biasanya seperti ini:
xxxxx.yyyyy.zzzzz
Terdiri dari 3 bagian:
header.payload.signature
Contoh nyata:
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
.
eyJ1c2VySWQiOjEsInJvbGUiOiJhZG1pbiJ9
.
sdfkjh23498sdf9234...
Bagian JWT
Berisi metadata:
{
"alg": "HS256",
"typ": "JWT"
}
Artinya:
algoritma signing: HS256
tipe token: JWT
2. Payload
Berisi data:
{
"userId": 1,
"role": "admin",
"exp": 1779898977
}
Inilah bagian yang sering disalahpahami.
Payload JWT:
bisa dibaca siapa saja
bukan terenkripsi
hanya Base64 encoded
3. Signature
Inilah inti keamanan JWT.
Signature dibuat menggunakan:
header,
payload,
secret key server.
Contoh sederhana:
HMACSHA256(
header.payload,
SECRET_KEY
)
Hasilnya menjadi signature.
Encoding ≠ Encryption
Kesalahan paling umum adalah menganggap Base64 sebagai enkripsi.
Padahal Base64 hanya encoding.
Analogi
Encoding seperti:
- menerjemahkan tulisan ke format lain.
Encryption seperti:
- mengunci tulisan dengan kunci rahasia.
JWT Bisa Dibuka Semua Orang
Misalnya token:
eyJ1c2VySWQiOjEsInJvbGUiOiJhZG1pbiJ9
Developer bisa membukanya hanya dengan:
atob(tokenPart)
atau website decoder online.
Tidak perlu:
password,
secret key,
akses backend.
Lalu Kenapa JWT Tetap Aman?
Karena keamanan JWT bukan pada “kerahasiaan payload”.
Tetapi pada:
Signature
JWT aman karena client tidak bisa memalsukan signature.
Cara Signature Bekerja
Misalnya server membuat payload:
{
"role": "user"
}
Lalu server membuat signature menggunakan secret key rahasia.
Hacker Mengubah Payload
Misal hacker mencoba:
{
"role": "admin"
}
Masalahnya:
- signature lama tidak cocok lagi.
Backend akan melakukan verifikasi:
signature_valid ?
Jika tidak cocok:
401 Unauthorized
Analogi yang Lebih Tepat
JWT lebih mirip:
surat resmi bertanda tangan
daripada:
brankas terkunci
Semua orang bisa membaca isi surat.
Tetapi:
- tidak semua orang bisa membuat tanda tangan resmi.
Kesalahan Fatal yang Masih Sering Dilakukan
Karena mengira JWT terenkripsi, beberapa developer menyimpan:
password,
API key,
nomor kartu,
data sensitif,
informasi internal.
Contoh buruk:
{
"password": "123456"
}
atau:
{
"creditCard": "..."
}
Ini berbahaya.
Karena siapa pun yang memegang token bisa membacanya.
Data Apa yang Aman Disimpan di JWT?
Biasanya hanya:
user id,
role,
session id,
issuer,
audience,
expiry.
Contoh aman:
{
"sub": "123",
"role": "admin",
"exp": 1779898977
}
JWT dan Stateless Authentication
Alasan JWT populer:
backend tidak perlu session store,
cocok untuk microservice,
scalable,
mudah diverifikasi.
Server cukup:
verify signature
tanpa query database.
Tapi JWT Murni Juga Punya Masalah
Karena stateless:
Makanya banyak sistem modern memakai hybrid approach:
JWT + session lookup
misalnya payload hanya:
{
"ref": "session_id"
}
Lalu backend cek Redis/database.
Ini mulai populer di:
enterprise apps,
banking systems,
internal ERP,
modern SaaS.
Kenapa Banyak Sistem Sekarang Tidak Menyimpan Banyak Data di JWT?
Karena:
payload terlihat user,
ukuran token bisa besar,
data mudah stale,
sulit revoke.
Sekarang tren modern:
payload minimal,
session server-side,
access token pendek,
refresh token rotation.
JWT Bukan Solusi Semua Hal
JWT sering dipakai berlebihan.
Padahal pada beberapa kasus:
session tradisional lebih aman,
cookie auth lebih sederhana,
stateful auth lebih mudah revoke.
Tidak semua aplikasi harus JWT.
Jika Ingin Token Benar-Benar Terenkripsi
Ada standar bernama:
JSON Web Encryption
Tetapi lebih kompleks:
Mayoritas sistem modern cukup memakai:
signed JWT,
bukan encrypted JWT.
Memahami JWT dengan Benar
JWT bukan:
JWT adalah:
Keamanan JWT terletak pada:
Bukan pada “payload tidak bisa dibaca”.
Penutup
Banyak developer terlalu fokus pada:
payload terlihat atau tidak
padahal inti keamanan JWT adalah:
apakah payload bisa dipalsukan?
Itulah fungsi signature.
Jika memahami ini dengan benar, developer akan:
lebih bijak menyimpan data,
memahami batas JWT,
menghindari kebocoran sensitif,
dan membangun sistem auth yang jauh lebih matang.
JWT bukan “data rahasia terenkripsi”.
JWT adalah:
data yang bisa dibaca, tetapi tidak bisa dimanipulasi tanpa secret key.
