JWT 디코더 — 온라인으로 JSON 웹 토큰 디코딩

인코딩된 JWT(긴 eyJ… 문자열)를 입력란에 붙여넣으세요. 도구가 두 개의 점을 기준으로 분리하고 헤더와 페이로드를 Base64URL로 디코딩한 뒤 각각의 JSON과 원시 서명 부분을 표시합니다. 모두 네트워크 요청 없이 이루어집니다.

아닙니다. 디코더는 토큰을 파싱만 할 뿐, 비밀 키나 공개 키로 서명을 검증하지는 않습니다. 검증에는 발급자의 키 자료가 필요하기 때문입니다. 프로덕션 환경의 검증에는 서버 측 JWT 라이브러리를 사용하세요. 이 도구는 검사와 디버깅용입니다.

헤더(알고리즘 및 키 ID), 페이로드 클레임(sub, iss, aud, iat, exp 및 모든 사용자 지정 클레임), 원본 서명을 확인할 수 있습니다. 표준 타임스탬프 클레임은 사람이 읽기 쉬운 날짜로 표시되므로, 만료된 토큰을 한눈에 알아볼 수 있습니다.

페이로드에 표준 "exp" 클레임이 있으면 도구가 이를 현재 시간과 비교해 정확한 타임스탬프와 함께 "유효 기간" 또는 "토큰 만료 시각"을 표시합니다. exp 클레임이 없는 토큰은 만료 없음으로 표시됩니다.

JWT의 페이로드를 읽을 수 있는 사람은 누구나 만료 전까지 그 토큰을 사용할 수 있으므로, 운영 환경 토큰은 비공개 도구에서만 다뤄야 합니다. 이 디코더는 전적으로 브라우저 안에서만 실행되며 토큰을 외부로 전송하지 않지만, 가능하면 수명이 짧은 개발용 토큰만 디코딩하는 것이 더 안전합니다.

JWT는 점으로 구분된 세 개의 Base64URL 인코딩 세그먼트로 구성됩니다. 헤더(서명 알고리즘), 페이로드(발급자가 검증자에게 신뢰하게 하려는 클레임), 서명(header.payload에 대한 MAC 또는 디지털 서명)입니다. 디코딩에는 키가 전혀 필요 없으며, 검증에만 필요합니다.

JWT는 헤더, 페이로드, 서명이라는 세 개의 Base64URL 구간으로 이루어진 간결한 URL 안전 토큰으로, 사용자 ID와 만료 시간 같은 서명된 클레임을 담습니다. 무상태 로그인 세션과 API 요청 보호에 널리 사용됩니다. 위에 토큰을 붙여넣으면 헤더와 페이로드를 확인할 수 있습니다.

디코딩된 헤더와 페이로드 아래에서, 서명 확인 상자에 서명 비밀 키(HS256용)나 발급자의 공개 키를 PEM 또는 JWK 형식(RS256, ES256 등)으로 붙여 넣은 뒤 확인을 클릭하세요. 나타나는 배지는 서명이 유효한지, 유효하지 않은지, 또는 브라우저 측 검증기가 지원하지 않는 알고리즘을 사용하는지 알려 줍니다 — 이 모든 것은 토큰이나 키를 어디에도 전송하지 않고 로컬에서 계산됩니다.

HS256 같은 HMAC 알고리즘의 경우 원시 공유 비밀 문자열을 붙여넣습니다. RS256, RS384 또는 ES256 같은 비대칭 알고리즘의 경우 발급자의 공개 키(개인 키 절대 아님)를 PEM 블록 또는 JWK로 제공해야 합니다. 비대칭 키 쌍의 잘못된 절반을 붙여넣으면 토큰이 유효하더라도 검증이 실패합니다.

Verify signature 패널은 모든 주류 JOSE 알고리즘을 지원합니다: HS256/384/512(공유 비밀 키를 사용하는 HMAC), RS256/384/512(RSA 공개 키를 사용하는 RSASSA-PKCS1-v1_5), PS256/384/512(RSA 공개 키를 사용하는 RSA-PSS), ES256/384/512(해당 P-256/P-384/P-521 곡선상의 ECDSA). "none"이나 이 목록에 없는 알고리즘으로 서명된 토큰은 유효 표시가 아니라 항상 지원되지 않음으로 보고되며, 이는 고전적인 alg=none 위조 수법으로부터도 보호해 줍니다.

가장 흔한 원인은 비밀 값 상자에 여분의 공백이나 끝의 줄바꿈을 붙여넣는 것입니다. 검증기는 입력한 바이트를 정확히 해싱하므로 복사-붙여넣기 과정의 잔여물이 일치를 깨뜨립니다. 또한 현재 토큰을 검증하는지 다시 확인하세요. 복사한 뒤 JWT가 재발급되었거나, 배포처의 비밀 값이 원시 문자열이 아니라 base64로 인코딩되어 있다면 붙여넣기 전에 먼저 디코딩하세요.

샘플 JWT 사용하기를 클릭하면 sub, name, iat, exp 클레임이 있는 데모 HS256 토큰이 로드되어, 자신의 토큰을 붙여넣기 전에 디코딩과 만료 확인이 작동하는 것을 볼 수 있습니다. 토큰이 상자에 들어가면 옆에 지우기 버튼이 나타나 한 번의 클릭으로 입력을 비웁니다.

헤더, 페이로드, 서명 패널에는 각각 오른쪽 상단에 해당 섹션의 JSON(또는 원시 서명 문자열)만 클립보드에 복사하는 자체 복사 버튼이 있습니다. 또한 패널 아래에는 클레임만 가져와 디버거나 버그 리포트에 붙여넣는 가장 흔한 경우를 위한 기본 페이로드 복사 버튼도 있습니다.

Authorization 헤더에서 'Bearer ' 뒤에 오는 값 — eyJ…로 시작하는 부분이 바로 JWT입니다 — 을 복사해 디코더에 붙여넣으면 헤더, 페이로드 클레임, 만료 상태를 즉시 확인할 수 있습니다. 'Bearer eyJ…' 문자열 전체를 복사했다면 토큰이 정확히 점(.)으로 구분된 세 부분이 되도록 먼저 'Bearer ' 접두사를 제거해 주세요.

아니요 — 이 도구는 JWT 편집기가 아니라 디코더 및 뷰어입니다. 페이로드를 변경하면 서명이 무효화되므로, 토큰을 검증하는 서버는 변조된 버전을 거부하게 됩니다. 클레임을 변경하려면 올바른 비밀 키 또는 개인 키로 서명한 새 토큰을 발급해야 합니다. 이 디코더는 토큰을 수정하는 용도가 아니라 읽고 디버깅하는 용도로 사용하세요.

아니요. JWT 디코더는 전적으로 브라우저에서 실행되므로 붙여넣은 내용이 현재 사용 중인 컴퓨터를 떠나지 않습니다. 토큰, 키 또는 고객 데이터가 포함된 항목을 확인하는 경우 중요합니다. 탭을 닫으면 탭이 지워집니다.

오류는 구문 분석할 수 없는 첫 번째 위치를 가리키며, 일반적으로 실제 실수 바로 뒤가 아닌 쉼표 누락, 닫히지 않은 따옴표 또는 대괄호, 직선 대신 문서에서 붙여넣은 스마트 따옴표 등입니다. 보고된 위치 위의 선을 먼저 확인하세요.

JWT Decoder shows its result on the page. Standard use does not require signup; this workflow does not offer a file download. Published processing allowances and file limits still apply.

아니요. JWT 디코더는 데스크톱과 휴대폰 브라우저에서 바로 실행됩니다. 원하는 작업이 되는지 확인하기 전에 설치할 프로그램도, 시작해야 할 체험판도, 구매할 라이선스도 없습니다. 샘플 파일 말고 지금 실제로 씨름하고 있는 파일로 바로 사용해 보세요.