**Apa Itu JWT?** JSON Web Token (JWT) adalah standar terbuka (RFC 7519) yang digunakan untuk mentransmisikan informasi antara dua pihak atau lebih sebagai objek JSON secara aman dan terverifikasi. Dalam pengembangan aplikasi web dan mobile modern, JWT sering kali menjadi tulang punggung sistem keamanan, khususnya untuk proses autentikasi dan otorisasi pengguna.

Token yang terkesan acak ini memungkinkan pengiriman data yang dapat diverifikasi keasliannya karena ditandatangani secara digital. JWT dan fungsinya yang utama adalah sebagai "kunci" atau "kartu identitas" digital yang membuktikan bahwa seorang pengguna telah berhasil login dan memiliki hak akses tertentu, tanpa mengharuskan server untuk menyimpan data sesi (stateless).

Pemahaman mendalam tentang **Apa Itu JWT** merupakan hal yang krusial bagi para pengembang web dan API. Artikel ini akan mengupas tuntas segala hal tentang JWT, mulai dari struktur dasarnya, cara kerja autentikasi, hingga praktik terbaik untuk mengimplementasikannya secara aman.


## Memahami Konsep Dasar JWT

![](https://apps.codepolitan.com/sites/learn/uploads/original/202308/jwt_adalah.png)

**Apa Itu JWT** jika dilihat dari bentuk fisiknya? JWT direpresentasikan sebagai sebuah string panjang yang terkesan acak, terdiri dari tiga bagian yang dipisahkan oleh tanda titik (.). Contohnya terlihat seperti ini:

```
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c
```

String ini sebenarnya adalah gabungan dari informasi header, payload, dan signature yang di-encode. JWT dalam konteks fungsional, Ia berperan sebagai alat transfer informasi yang aman. Saat seorang pengguna berhasil login dengan kredensial yang benar (seperti username dan password), server akan menghasilkan JWT dan mengirimkannya kembali ke klien (browser atau aplikasi mobile). Token inilah yang kemudian disimpan oleh klien dan disertakan dalam setiap permintaan (request) berikutnya ke server untuk mengakses sumber daya yang dilindungi.

**Baca Juga:** [Mengapa Banyak Orang Tidak Merekomendasikan Penggunaan JWT?](https://www.codepolitan.com/blog/mengapa-banyak-orang-tidak-merekomendasikan-penggunaan-jwt/)

## Mengapa JWT Penting dalam Pengembangan Aplikasi Modern? 

Sebelum memahami JWT secara teknis, penting untuk mengetahui mengapa teknologi ini lahir dan menjadi populer. JWT hadir sebagai solusi atas beberapa keterbatasan pendekatan autentikasi tradisional yang berbasis sesi (session-based authentication).

Dalam autentikasi berbasis sesi, status login pengguna disimpan di memori server. Metode ini menimbulkan tantangan untuk aplikasi yang skalanya besar dan terdistribusi, seperti arsitektur microservices dan API RESTful, karena menyulitkan berbagi status sesi antar banyak server.

JWT menawarkan pendekatan yang **stateless**. Server tidak perlu menyimpan informasi sesi pengguna karena semua data yang diperlukan untuk otentikasi dan otorisasi sudah terbungkus di dalam token itu sendiri. Karakteristik ini membuat JWT sangat ideal untuk:
-   **Aplikasi Skala Besar**: Permintaan pengguna dapat diarahkan ke server mana pun tanpa perlu khawatir kehilangan data sesi.
-   **Arsitektur Microservices**: Layanan yang berbeda dapat memverifikasi token secara mandiri tanpa perlu menanyakan ke database pusat.
-   **API RESTful**: API REST menganut prinsip stateless, dan JWT sangat cocok dengan prinsip ini.

## Mengenal Struktur JWT: Header, Payload, dan Signature

Untuk benar-benar mengerti **Apa Itu JWT**, kita harus membongkar tiga komponen penyusunnya. Setiap bagian memainkan peran yang vital dalam menjamin keamanan dan integritas token.

### 1. Header
Bagian header berisi metadata tentang jenis token dan algoritma penandatanganan yang digunakan. Setelah di-decode, header biasanya berupa objek JSON seperti ini:

```json
{
  "alg": "HS256",
  "typ": "JWT"
}
```
-   `typ` (type): Menunjukkan jenis token, yaitu "JWT".
-   `alg` (algorithm): Menentukan algoritma yang digunakan untuk menghasilkan signature, seperti HS256 (HMAC dengan SHA-256) atau RS256 (RSA dengan SHA-256).

### 2. Payload
Payload adalah tempat menyimpan "klaim" (claims), yaitu pernyataan tentang entitas (biasanya pengguna) dan data tambahan. Payload tidak dienkripsi, melainkan hanya di-encode dengan Base64Url. Ini berarti siapa pun dapat mendecode-nya untuk membaca isinya. Karena itu, **sangat kritikal untuk tidak pernah menyimpan informasi sensitif seperti password di dalam payload**.

Klaim dalam payload dibagi menjadi beberapa jenis:
-   **Registered Claims**: Klaim yang telah ditentukan standarnya dan disarankan penggunaannya, seperti:
    -   `iss` (issuer): Penerbit token.
    -   `exp` (expiration time): Waktu kadaluarsa token (dalam timestamp Unix).
    -   `sub` (subject): Subjek token (biasanya ID pengguna).
    -   `aud` (audience): Penerima token.
-   **Public Claims**: Klaim yang dapat didefinisikan sendiri oleh pengguna.
-   **Private Claims**: Klaim kustom yang disepakati antara pihak yang berkomunikasi.

Contoh payload:
```json
{
  "sub": "1234567890",
  "name": "Budi Santoso",
  "role": "admin",
  "iat": 1516239022
}
```

### 3. Signature
Signature adalah inti dari keamanan JWT. Bagian ini yang memastikan bahwa token tidak diubah-ubah selama perjalanan. Signature dibuat dengan menggabungkan encoded header, encoded payload, dan sebuah **secret key** (untuk algoritma HMAC) atau **private key** (untuk algoritma RSA), kemudian melakukan hashing terhadap gabungan tersebut berdasarkan algoritma yang ditentukan di header.

Ilustrasi pembuatan signature (HMAC SHA256):
```
HMACSHA256(
  base64UrlEncode(header) + "." + base64UrlEncode(payload),
  secret
)
```

Server dapat memverifikasi signature ini dengan menggunakan secret key yang sama. Jika ada satu karakter saja yang diubah dalam header atau payload, signature yang dihasilkan akan berbeda, dan token akan dinyatakan tidak valid.

## Bagaimana Cara Kerja Autentikasi dengan JWT?

Alur autentikasi menggunakan JWT melibatkan serangkaian langkah yang terjadi antara klien dan server. Memahami alur ini adalah kunci untuk menjawab pertanyaan JWT dalam konteks praktis.

1.  **Login dan Verifikasi Kredensial**: Pengguna mengirimkan permintaan login ke server (biasanya endpoint `/login`) dengan menyertakan kredensial seperti username dan password.
2.  **Pembuatan JWT**: Server memverifikasi kredensial tersebut dengan data di database. Jika valid, server akan membuat JWT. Payload-nya diisi dengan informasi pengguna yang relevan (seperti ID, username, role) dan klaim waktu kadaluarsa (`exp`).
3.  **Pengiriman JWT ke Klien**: Server mengirimkan JWT yang telah dibuat kembali kepada klien. Klien kemudian menyimpan token ini, biasanya di `localStorage`, `sessionStorage`, atau `HttpOnly cookie` untuk keamanan yang lebih baik.
4.  **Permintaan ke Sumber Daya yang Dilindungi**: Setiap kali klien ingin mengakses endpoint API yang dilindungi (misalnya, `/profile` atau `/admin`), ia harus menyertakan JWT dalam header permintaan HTTP, biasanya dengan skema `Bearer Token`:
    ```
    Authorization: Bearer <token_jwt>
    ```
5.  **Verifikasi Token oleh Server**: Ketika server menerima permintaan, ia akan mengekstrak JWT dari header, memverifikasi signature-nya, dan memeriksa klaim-klaim penting seperti waktu kadaluarsa. Jika semua valid, server akan mengizinkan akses ke sumber daya yang diminta.
6.  **Otorisasi Akses**: Informasi dalam payload (seperti `role`) dapat digunakan server untuk menentukan izin akses yang lebih spesifik (otorisasi).

## Kelebihan dan Kekurangan JWT

Seperti teknologi lainnya, pemahaman **Apa Itu JWT** tidak lengkap tanpa menimbang sisi positif dan negatifnya.

### Kelebihan JWT
-   **Stateless**: Server tidak perlu menyimpan status sesi, sehingga lebih sederhana dan mudah diskalakan.
-   **Portabel dan Compact**: Dapat digunakan di berbagai platform dan bahasa pemrograman. Ukurannya yang kecil membuatnya efisien untuk ditransmisikan.
-   **Self-Contained**: Token sudah mengandung semua informasi yang diperlukan untuk otorisasi, mengurangi kebutuhan query database berulang.
-   **Keamanan**: Signature digital mencegah pemalsuan dan modifikasi token.

### Kekurangan JWT
-   **Tidak Ada Pembatalan Bawaan**: Setelah diterbitkan, JWT tetap valid sampai masa berlakunya habis. Ini berisiko jika token dicuri. Diperlukan mekanisme tambahan seperti token blacklist untuk mencabutnya lebih awal.
-   **Penyimpanan di Sisi Klien**: Keamanan JWT sangat bergantung pada cara klien menyimpannya. Penyimpanan yang tidak tepat (misalnya di Local Storage) dapat membuatnya rentan terhadap serangan XSS (Cross-Site Scripting).
-   **Ukuran Overhead**: Jika payload terlalu besar, ukuran token akan membesar dan dapat mempengaruhi performa karena token harus dikirim dalam setiap permintaan.

**Baca Juga:** [Memahami Fullstack Development: Kombinasi Antara Backend dan Frontend](https://www.codepolitan.com/blog/memahami-fullstack-development-kombinasi-antara-backend-dan-frontend/)

## Panduan Implementasi: Membuat Autentikasi dengan JWT

Berikut adalah contoh konseptual implementasi JWT dalam sebuah aplikasi Node.js dengan framework Express.js.

### 1. Instalasi Dependensi
```bash
npm install express jsonwebtoken dotenv
```

### 2. Setup Server dan Secret Key
```javascript
// server.js
const express = require('express');
const jwt = require('jsonwebtoken');
require('dotenv').config();

const app = express();
app.use(express.json());
const JWT_SECRET = process.env.JWT_SECRET; // Simpan di environment variable!
```

### 3. Buat Endpoint Login
```javascript
app.post('/login', (req, res) => {
    const { username, password } = req.body;
    // ... (Verifikasi kredensial dari database)
    // Jika kredensial valid:
    const user = { id: 1, username: username, role: 'user' };
    const token = jwt.sign(
        { id: user.id, username: user.username, role: user.role },
        JWT_SECRET,
        { expiresIn: '1h' } // Token kadaluarsa dalam 1 jam
    );
    res.json({ accessToken: token });
});
```

### 4. Buat Middleware untuk Verifikasi JWT
```javascript
function authenticateToken(req, res, next) {
    const authHeader = req.headers['authorization'];
    const token = authHeader && authHeader.split(' ')[1]; // Ambil "Bearer <token>"
    if (token == null) return res.sendStatus(401);
    jwt.verify(token, JWT_SECRET, (err, user) => {
        if (err) return res.sendStatus(403);
        req.user = user; // Simpan data user ke request object
        next();
    });
}
```

### 5. Terapkan Middleware pada Endpoint yang Dilindungi
```javascript
app.get('/profile', authenticateToken, (req, res) => {
    // Jika sampai di sini, token valid. Data user ada di req.user
    res.json({ message: `Halo, ${req.user.username}!`, user: req.user });
});
```

## Praktik Terbaik untuk Keamanan JWT

Implementasi **Apa Itu JWT** yang benar harus disertai dengan praktik keamanan yang ketat.

1.  **Selalu Gunakan HTTPS**: Transmisikan JWT selalu melalui koneksi terenkripsi (HTTPS/TLS) untuk mencegah serangan man-in-the-middle.
2.  **Gunakan Algoritma yang Kuat**: Hindari algoritma `none`. Pilih algoritma yang kuat seperti HS256 dengan secret key yang panjang dan acak, atau RS256 yang menggunakan pasangan kunci publik-privat.
3.  **Atur Waktu Kadaluarsa (`exp`) yang Singkat**: Batasi masa berlaku access token (misalnya 15-60 menit) untuk meminimalkan dampak jika token bocor. Gunakan mekanisme refresh token untuk memperbarui akses tanpa memaksa pengguna login ulang.
4.  **Simpan Secret Key dengan Aman**: Jangan hardcode secret key di kode aplikasi. Gunakan environment variables atau layanan manajemen rahasia (secret management service).
5.  **Validasi Semua Klaim dengan Cermat**: Saat memverifikasi token, jangan hanya cek signature. Pastikan juga klaim `exp`, `iss` (issuer), dan `aud` (audience) sudah benar.
6.  **Hindari Penyimpanan Sensitif di Payload**: Ingat, payload dapat dibaca oleh siapa pun. Jangan menyimpan password, nomor kartu kredit, atau data rahasia lainnya di dalamnya.
7.  **Amankan Penyimpanan di Sisi Klien**: Untuk aplikasi web, pertimbangkan untuk menyimpan JWT di `HttpOnly cookies` daripada `localStorage` untuk mengurangi kerentanan terhadap serangan XSS.

## Kesimpulan

JSON Web Token adalah teknologi yang powerful dan elegan untuk mengelola autentikasi dan otorisasi dalam aplikasi modern yang stateless dan terdistribusi. Pemahaman mendalam tentang **Apa Itu JWT**—mulai dari struktur tiga bagiannya (header, payload, signature), alur kerjanya, hingga praktik keamanannya—adalah bekal penting bagi setiap pengembang yang ingin membangun sistem yang aman, skalabel, dan efisien. Meskipun JWT menawarkan banyak keuntungan, keamanannya sangat bergantung pada implementasi yang benar. Mulai dari pemilihan algoritma, pengaturan masa berlaku, penyimpanan secret key, hingga penanganan token di sisi klien, setiap langkah harus dilakukan dengan pertimbangan keamanan yang matang. Dengan menerapkan praktik terbaik yang dijelaskan dalam artikel ini, Anda dapat memanfaatkan kekuatan JWT secara maksimal sambil meminimalkan potensi risikonya.

[![](https://image.web.id/images/belajar-coding-gratis.png)](https://www.kelasfullstack.id/project)

Memahami JWT dan konsep keamanan web lainnya adalah langkah fundamental dalam karir sebagai Full Stack Developer. Jika Anda ingin menguasai keterampilan membangun website dan aplikasi dari ujung ke ujung (A to Z) yang dibutuhkan oleh industri, pertimbangkan untuk mengikuti **kelasFullstack** di Codepolitan. Kelas Fullstack Web Developer dari A to Z dirancang untuk memandu Anda dari dasar hingga tingkat mahir, mempelajari teknologi terkini, dan menyiapkan Anda untuk memiliki karir yang cemerlang dengan keterampilan yang tinggi dan mampu menciptakan solusi digital untuk mengembangkan bisnis online sendiri. Klik di [sini](https://www.kelasfullstack.id/project) untuk informasi lebih lanjut tentang kelas Fullstack Codepolitan!

***Referensi***
1. [AnakTeknik: Panduan Autentikasi dengan JWT](https://www.anakteknik.co.id/tatabicara12/articles/panduan-autentikasi-dengan-jwt-json-web-token)
2. [Google Cloud: Menggunakan JWT untuk mengautentikasi pengguna](https://cloud.google.com/api-gateway/docs/authenticating-users-jwt?hl=id)
3. [KB Flaz: Keamanan JSON Web Token (JWT) Terbaik](https://kb.flaz.id/keamanan-json-web-token-jwt-terbaik/)

Apa Itu JWT? Pengertian, Struktur & Autentikasi Penggunaannya

GenAI Video Fest adalah ajang kompetisi video kreatif yang diselenggarakan oleh CODEPOLITAN bekerjasama dengan Alibaba Cloud.

Kami menantang kreator, tech-enthusiast, dan siapa saja untuk mendobrak batas imajinasi menggunakan teknologi Generative AI terbaru. Di sini, kamu wajib menggunakan WAN Model Studio dari Alibaba Cloud sebagai tools utama untuk menghasilkan karya videomu (bisa dikombinasikan dengan tools editing lainnya).

Tunjukkan pada dunia bagaimana teknologi dan kreativitas bisa bersatu menciptakan karya visual yang berdampak!

Kategori Kompetisi
Pilih satu dari empat tema besar ini untuk karyamu:
* Humanity (Kemanusiaan): Cerita yang menyentuh hati, sosial, dan kepedulian antar sesama.
* Sports (Olahraga): Energi, semangat juang, dan dinamika dunia olahraga.
* Entertainment (Hiburan): Komedi, musik, video klip, atau parodi yang menghibur.
* Science (Sains): Visualisasi masa depan, teknologi, alam semesta, atau penemuan ilmiah.

Total Prize Pool senilai Rp 250.000.000 menunggu para pemenang!
* Top Winners Rewards: Uang Tunai, Alibaba Cloud Credits (hingga $500), Merchandise Eksklusif, dan SWAG CODEPOLITAN.
* Lucky Draw Event: Kesempatan menang hadiah tambahan bagi peserta yang beruntung.
* Massive Exposure: Karya terbaik akan di-highlight di media sosial CODEPOLITAN, Alibaba Cloud, dan channel industri kreatif lainnya.
* Special Access (Khusus Alumni RuangAI): Dapatkan 2 Token untuk klaim Kelas Spesialisasi di RuangAI secara gratis.

Jangan sampai ketinggalan tanggal penting ini:
* Pendaftaran & Submission: 23 Desember 2024 - 23 Januari 2025
* Penjurian (Judging Phase): 24 - 26 Januari 2025
* Pengumuman Pemenang: 27 Januari 2025

Cara Ikutan:
1. Daftar: Klik tombol "Daftar Sekarang" dan pastikan kamu punya akun RuangAI.
2. Join Discord: Masuk ke server Discord komunitas untuk info teknis dan diskusi.
3. Create: Buat video kreatifmu menggunakan WAN Model Studio (Alibaba Cloud) sesuai kategori pilihan.
4. Upload & Submit: Unggah videomu ke media sosial (IG/TikTok/YouTube) dan submit link karyamu di halaman submission RuangAI.

Ikuti kompetisi video Generative AI terbesar dari CODEPOLITAN dan Alibaba Cloud! Gunakan teknologi WAN Model Studio untuk menyulap ide liarmu menjadi visual memukau. Rebut total hadiah senilai Rp 250.000.000!

GenAI Video Fest

Beasiswa Basic Cybersecurity adalah program inisiatif dari JagoanSiber yang dirancang untuk membuka wawasan masyarakat luas tentang dunia keamanan digital. Program ini hadir untuk menjawab kebutuhan talenta keamanan siber yang tinggi, dimulai dengan membangun pemahaman fundamental yang kokoh.

Program ini berbentuk Kelas Online Belajar Mandiri (Self-Paced Learning) berbasis video. Peserta diberikan keleluasaan penuh untuk mengakses materi kapan saja dan di mana saja tanpa terikat jadwal, sehingga sangat fleksibel bagi pelajar, mahasiswa, maupun pekerja profesional.

Kelebihan utama program ini adalah aksesnya yang 100% GRATIS dan terbuka untuk siapa saja tanpa syarat latar belakang IT. Peserta akan dibimbing langsung oleh Mahrus Qusaery, seorang praktisi keamanan siber berpengalaman, yang akan mengupas tuntas materi dasar yang krusial.

Program beasiswa kelas online gratis untuk mempelajari dasar keamanan siber dari nol. Belajar mandiri berbasis video langsung dari praktisi ahli, Mahrus Qusaery.

Apa Itu JWT? Pengertian, Struktur & Autentikasi Penggunaannya

Learning

KelasFullstack

RuangAI

JagoanSiber

Baca Artikel Lainnya

ChatGPT adalah Kawan atau Lawan Bagi Programmer?

Belajar Membangun Proyek Open Source, Emang bisa?

13+ Rahasia Dibalik Skills Frontend Developer di Buru Perusahaan

10 Tips & Trik Penggunaan Shortcut Vscode, Pelajari Yuk!

Cara Menghapus Commit Git: Panduan Praktis dan Terbaik!

Tingkatkan Teknologi AI, Indonesia Jalin Kerjasama dengan AS