Daftar Isi:
Web Security · Autentikasi
Apa Itu JWT Token?
Setiap kali Anda login ke aplikasi web dan tetap “diingat” tanpa harus memasukkan password ulang di setiap halaman, kemungkinan besar ada JWT (JSON Web Token) bekerja di baliknya. Token kecil berformat teks ini menjadi salah satu fondasi autentikasi paling banyak dipakai di aplikasi web dan mobile modern saat ini.
Bagi masyarakat umum yang penasaran dengan istilah teknis di balik aplikasi favorit sehari-hari, memahami JWT membantu menjawab pertanyaan sederhana: bagaimana caranya aplikasi tahu bahwa Anda adalah pengguna yang sudah login, padahal setiap permintaan ke server pada dasarnya terpisah satu sama lain? Bagi pembaca profesional seperti developer, arsitek sistem, atau engineer keamanan, JWT adalah standar yang wajib dikuasai karena menjadi tulang punggung autentikasi stateless di hampir semua arsitektur microservices dan API modern saat ini.
3
bagian utama: Header, Payload, Signature
RFC 7519
standar resmi IETF untuk JWT
0
query database dibutuhkan untuk verifikasi token
Base64Url
metode encoding tiap bagian token
Apa Itu JWT? Pengertian Dasar
JWT atau JSON Web Token adalah standar terbuka (open standard) yang didefinisikan dalam RFC 7519, digunakan untuk merepresentasikan klaim (claims) secara ringkas dan aman antara dua pihak, biasanya antara klien dan server. JWT berbentuk string teks yang ringkas dan dapat dikirim lewat URL, header HTTP, atau body request, membuatnya sangat fleksibel dipakai di berbagai skenario autentikasi dan otorisasi aplikasi web maupun mobile.
Sifat paling penting dari JWT adalah self-contained, artinya seluruh informasi yang diperlukan untuk memverifikasi identitas pengguna sudah tersimpan di dalam token itu sendiri. Server tidak perlu menyimpan status sesi (session) di database atau memory setiap kali memverifikasi token, cukup memeriksa tanda tangan digitalnya, sehingga pendekatan ini sering disebut autentikasi stateless.
Struktur JWT: Tiga Bagian yang Dipisahkan Titik
Sebuah JWT terdiri dari tiga bagian yang dipisahkan tanda titik, dengan format umum seperti berikut:
header.payload.signature
1. Header
Bagian ini berisi metadata tentang token, terutama tipe token (umumnya “JWT”) dan algoritma tanda tangan yang digunakan, misalnya HS256 atau RS256. Header ini di-encode menggunakan Base64Url sebelum digabung ke dalam token final.
2. Payload
Payload berisi klaim (claims), yaitu data atau pernyataan tentang pengguna dan informasi tambahan lain, misalnya ID pengguna, peran (role), dan waktu kedaluwarsa token (exp). Penting dipahami bahwa payload hanya di-encode, bukan dienkripsi, sehingga siapa pun yang memiliki token bisa membaca isinya meski tidak bisa mengubahnya tanpa terdeteksi.
3. Signature
Signature dihasilkan dengan menggabungkan header dan payload yang sudah di-encode, lalu menandatanganinya menggunakan secret key (untuk algoritma simetris seperti HS256) atau private key (untuk algoritma asimetris seperti RS256). Bagian inilah yang menjamin integritas token: jika ada satu karakter saja dalam header atau payload yang diubah, signature akan menjadi tidak valid saat diverifikasi.
Cara Kerja JWT dalam Proses Autentikasi
Analisis dari alur kerja umum menunjukkan pola yang konsisten di hampir semua implementasi JWT untuk autentikasi:
- Pengguna login dengan mengirimkan kredensial (username dan password) ke server.
- Server memverifikasi kredensial, lalu jika valid, membuat JWT berisi klaim identitas pengguna dan menandatanganinya dengan secret key milik server.
- Token dikirim kembali ke klien, yang biasanya menyimpannya di local storage, cookie, atau memory aplikasi.
- Pada setiap permintaan berikutnya, klien menyertakan token tersebut, umumnya lewat header
Authorization: Bearer <token>. - Server memverifikasi signature token tanpa perlu mengecek database sesi, cukup memastikan tanda tangan valid dan token belum kedaluwarsa, lalu mengizinkan akses sesuai klaim di dalamnya.
Mengapa JWT Populer di Arsitektur Modern
Keunggulan utama JWT terletak pada sifat statelessnya. Pada sistem autentikasi berbasis session tradisional, server harus menyimpan data sesi setiap pengguna yang login, yang menjadi beban tambahan saat aplikasi diskalakan ke banyak server. Dengan JWT, seluruh informasi yang dibutuhkan sudah ada di dalam token, sehingga server mana pun dalam sebuah cluster bisa memverifikasi token yang sama tanpa perlu berbagi data sesi terpusat, menjadikannya pilihan ideal untuk arsitektur microservices dan API terdistribusi.
| Aspek | Session Tradisional | JWT |
|---|---|---|
| Penyimpanan status | Di server (database/memory) | Di dalam token itu sendiri |
| Skalabilitas horizontal | Butuh session store terpusat | Lebih mudah, tanpa state bersama |
| Revoke akses instan | Mudah, hapus session di server | Lebih sulit, butuh mekanisme tambahan seperti blacklist |
| Ukuran data dikirim | Hanya session ID kecil | Lebih besar, memuat seluruh klaim |
Risiko Keamanan yang Wajib Dipahami
Perhatian: payload JWT hanya di-encode dengan Base64Url, bukan dienkripsi. Jangan pernah menyimpan data sensitif seperti password atau informasi rahasia lain di dalam payload, karena siapa pun yang mendapatkan token bisa dengan mudah membaca isinya menggunakan alat decode sederhana.
- Token yang dicuri berarti akses penuh — karena JWT bersifat self-contained, siapa pun yang memegang token sah bisa mengakses sistem selayaknya pemilik asli sampai token tersebut kedaluwarsa.
- Selalu gunakan HTTPS — mengirim token lewat koneksi tidak terenkripsi membuka celah pencurian token melalui serangan man-in-the-middle.
- Terapkan masa berlaku (expiry) yang singkat — kombinasikan dengan refresh token untuk memperpanjang sesi secara aman tanpa membuat access token berlaku selamanya.
- Waspadai algoritma “none” — pastikan implementasi backend menolak token yang mengklaim tidak menggunakan algoritma tanda tangan sama sekali, karena ini adalah celah keamanan klasik pada beberapa pustaka JWT yang belum diperbarui.
Bagaimana JWT Berkaitan dengan Idempotency dan ACID
JWT, idempotency, dan ACID sama-sama menjadi fondasi sistem digital yang andal, namun masing-masing menjaga aspek yang berbeda. JWT menjamin sisi autentikasi dan otorisasi, memastikan permintaan benar-benar berasal dari pengguna yang berwenang. Idempotency menjaga permintaan yang sama tidak diproses berulang kali akibat masalah jaringan. ACID menjaga integritas data setelah transaksi diproses di level database. Sebuah sistem pembayaran atau aplikasi modern yang andal umumnya membutuhkan ketiganya bekerja bersamaan: JWT memverifikasi siapa yang mengirim permintaan, idempotency memastikan permintaan itu diproses tepat satu kali, dan ACID memastikan hasilnya tercatat secara akurat.
Baca Juga:
Baca juga: Apa Itu Idempotency untuk Payment API? Penjelasan dan Apa Itu ACID pada TF Bank? Penjelasan Lengkap untuk melengkapi pemahaman Anda tentang fondasi sistem digital yang andal.
FAQ Seputar JWT Token
1. Apakah data di dalam JWT aman dari pembacaan orang lain?
Tidak sepenuhnya. Payload JWT hanya di-encode dengan Base64Url, bukan dienkripsi, sehingga siapa pun yang memiliki token bisa membaca isinya. Keamanan JWT terletak pada signature yang mencegah perubahan data, bukan pada kerahasiaan isi payload.
2. Apa beda JWT dengan session tradisional?
Session tradisional menyimpan status login di server, sementara JWT menyimpan seluruh informasi yang dibutuhkan langsung di dalam token, sehingga server tidak perlu menyimpan data sesi tambahan.
3. Apa yang terjadi jika JWT dicuri orang lain?
Karena JWT bersifat self-contained, pihak yang mendapatkan token bisa mengakses sistem selayaknya pemilik sah sampai token tersebut kedaluwarsa, sehingga penggunaan HTTPS dan masa berlaku token yang singkat sangat penting.
4. Bagaimana cara mencabut akses JWT sebelum kedaluwarsa?
Karena JWT bersifat stateless, mencabut akses sebelum waktunya membutuhkan mekanisme tambahan seperti daftar token yang diblokir (blacklist) atau token versioning di sisi server.
5. Apakah JWT hanya dipakai untuk autentikasi login?
Tidak hanya itu. JWT juga umum dipakai untuk otorisasi akses API, pertukaran informasi antar layanan dalam arsitektur microservices, hingga verifikasi tautan sekali pakai seperti reset password.
Kesimpulan
Memahami apa itu JWT token membuka wawasan tentang bagaimana aplikasi modern menjaga sesi pengguna tetap aman dan efisien tanpa membebani server dengan penyimpanan status sesi yang rumit. Tiga bagian JWT, header, payload, dan signature, bekerja bersama memastikan data yang dibawa token tidak bisa diubah sembarangan meski isinya tetap bisa dibaca siapa saja yang memegangnya. Bagi developer, memahami risiko keamanan seperti pentingnya HTTPS, masa berlaku token yang singkat, dan waspada terhadap celah algoritma adalah kunci memanfaatkan JWT secara maksimal tanpa mengorbankan keamanan pengguna. Kombinasi JWT dengan prinsip idempotency dan ACID adalah fondasi lengkap yang membuat sistem digital modern terasa cepat, aman, dan bisa dipercaya oleh jutaan pengguna sekaligus.
