JWT 디코더 - 온라인에서 JSON Web Token 디코딩 및 만료 확인

인코딩된 JWT(긴 eyJ… 문자열)를 입력란에 붙여넣으세요. 도구가 두 개의 점을 기준으로 분리하고 헤더와 페이로드를 Base64URL로 디코딩한 뒤 각각의 JSON과 원시 서명 부분을 표시합니다. 모두 네트워크 요청 없이 이루어집니다.

아닙니다. 디코더는 토큰을 파싱만 할 뿐, 비밀 키나 공개 키로 서명을 검증하지는 않습니다. 검증에는 발급자의 키 자료가 필요하기 때문입니다. 프로덕션 환경의 검증에는 서버 측 JWT 라이브러리를 사용하세요. 이 도구는 검사와 디버깅용입니다.

헤더(알고리즘 및 키 ID), 페이로드 클레임(sub, iss, aud, iat, exp 및 모든 사용자 지정 클레임), 원본 서명을 확인할 수 있습니다. 표준 타임스탬프 클레임은 사람이 읽기 쉬운 날짜로 표시되므로, 만료된 토큰을 한눈에 알아볼 수 있습니다.

페이로드에 표준 "exp" 클레임이 있으면 도구가 이를 현재 시간과 비교해 정확한 타임스탬프와 함께 "유효 기간" 또는 "토큰 만료 시각"을 표시합니다. exp 클레임이 없는 토큰은 만료 없음으로 표시됩니다.

JWT의 페이로드를 읽을 수 있는 사람은 누구나 만료 전까지 그 토큰을 사용할 수 있으므로, 운영 환경 토큰은 비공개 도구에서만 다뤄야 합니다. 이 디코더는 전적으로 브라우저 안에서만 실행되며 토큰을 외부로 전송하지 않지만, 가능하면 수명이 짧은 개발용 토큰만 디코딩하는 것이 더 안전합니다.

JWT는 점으로 구분된 세 개의 Base64URL 인코딩 세그먼트로 구성됩니다. 헤더(서명 알고리즘), 페이로드(발급자가 검증자에게 신뢰하게 하려는 클레임), 서명(header.payload에 대한 MAC 또는 디지털 서명)입니다. 디코딩에는 키가 전혀 필요 없으며, 검증에만 필요합니다.

JWT는 헤더, 페이로드, 서명이라는 세 개의 Base64URL 구간으로 이루어진 간결한 URL 안전 토큰으로, 사용자 ID와 만료 시간 같은 서명된 클레임을 담습니다. 무상태 로그인 세션과 API 요청 보호에 널리 사용됩니다. 위에 토큰을 붙여넣으면 헤더와 페이로드를 확인할 수 있습니다.

디코딩된 헤더와 페이로드 아래에서, 서명 확인 상자에 서명 비밀 키(HS256용)나 발급자의 공개 키를 PEM 또는 JWK 형식(RS256, ES256 등)으로 붙여 넣은 뒤 확인을 클릭하세요. 나타나는 배지는 서명이 유효한지, 유효하지 않은지, 또는 브라우저 측 검증기가 지원하지 않는 알고리즘을 사용하는지 알려 줍니다 — 이 모든 것은 토큰이나 키를 어디에도 전송하지 않고 로컬에서 계산됩니다.

For HMAC algorithms like HS256 you paste the raw shared secret string. For asymmetric algorithms like RS256, RS384 or ES256 you need the issuer's public key — never the private key — supplied as a PEM block or a JWK; pasting the wrong half of an asymmetric key pair will make verification fail even though the token is valid.

The Verify signature panel supports every mainstream JOSE algorithm: HS256/384/512 (HMAC with a shared secret), RS256/384/512 (RSASSA-PKCS1-v1_5 with an RSA public key), PS256/384/512 (RSA-PSS with an RSA public key) and ES256/384/512 (ECDSA over the matching P-256/P-384/P-521 curve). Tokens signed with "none" or any algorithm outside this list are always reported as unsupported rather than marked valid, which also protects you from the classic alg=none forgery trick.

The most common cause is pasting extra whitespace or a trailing newline into the secret box — the verifier hashes the exact bytes you enter, so a copy-paste artifact breaks the match. Also double-check you're verifying the current token: if the JWT was re-issued after you copied it, or the provider's secret is base64-encoded rather than a raw string, decode it first before pasting it in.

Click Try sample JWT to load a demo HS256 token with sub, name, iat and exp claims so you can see decoding and expiry checking work before pasting your own token. Once a token is in the box, a Clear button appears next to it that wipes the input back to empty in one click.

Each of the Header, Payload and Signature panels has its own Copy button in its top-right corner that copies only that section's JSON (or the raw signature string) to your clipboard. There's also a primary Copy Payload button below the panels for the most common case of grabbing just the claims to paste into a debugger or bug report.