JWT 디코더

사용법

1. 입력 칸에 토큰을 붙여넣습니다. 앞의 "Bearer " 는 무시하므로 Authorization 헤더 값을 그대로 붙여넣어도 됩니다.
2. 디코딩된 헤더와 페이로드를 확인합니다. 각 제목 옆의 복사 버튼으로 정리된 JSON 을 복사할 수 있습니다.
3. 페이로드에 exp 가 있으면 위쪽에 만료됨/만료 전 표시와 남은·지난 시간이 1초마다 갱신되어 표시됩니다.
4. 표에서 iat(발급)·nbf(사용 시작)·exp(만료)를 내 지역 시간대의 날짜와 상대 시간으로 확인합니다.
5. 서명 아래 비밀 키 (HMAC) 칸에 비밀 키를 입력하면 HS256·HS384·HS512 토큰의 서명이 올바른지 바로 표시됩니다.

자주 묻는 질문

디코딩이 되면 유효한 토큰인가요?

아니요. 헤더와 페이로드는 Base64URL 로 인코딩만 되어 있어 누구나 읽거나 새로 만들 수 있습니다. 올바른 키로 서명이 확인되고 alg·exp·nbf·iss·aud 가 서비스가 기대하는 값일 때만 믿을 수 있습니다. 이 도구에서는 HS256/384/512 토큰에 비밀 키를 넣어 서명을 확인할 수 있습니다.

어떤 서명 알고리즘을 검증할 수 있나요?

HMAC 방식인 HS256·HS384·HS512 만 검증합니다. RS256·ES256·PS256 같은 공개키 방식은 발급자의 공개키가 필요한데 이 도구는 공개키를 받지 않으므로 디코딩만 합니다. 비밀 키는 입력한 글자 그대로(UTF-8) 쓰며, Base64 로 인코딩된 키를 풀어서 쓰지는 않습니다.

iat·nbf·exp 는 어떻게 해석하나요?

1970-01-01 UTC 부터의 초로 읽어 내 지역 시간대로 보여 주며, 숫자가 아닌 값은 표에 나오지 않습니다. 만료됨/만료 전 표시는 exp 만 보고 정하므로, 아직 쓸 수 있는 토큰인지는 nbf 를 따로 확인하세요.

"올바른 JWT 가 아닙니다" 라고 나오는 이유는 무엇인가요?

점(.)으로 나뉜 세 부분이어야 하고, 앞의 두 부분은 Base64URL 로 인코딩된 JSON 객체여야 합니다. 암호화된 토큰(JWE, 다섯 부분)이나 잘리거나 잘못 복사된 토큰은 디코딩할 수 없습니다.

토큰이나 비밀 키가 서버로 전송되나요?

아니요. 디코딩과 검증 모두 브라우저 안에서 하며, 토큰과 비밀 키는 서버나 다른 곳으로 보내지 않습니다.