JWT 디코더

사용 방법

1. 토큰 입력란에 점(.)으로 세 부분으로 나뉜 JWT 또는 `Bearer `로 시작하는 Authorization 값을 붙여 넣습니다.
2. 헤더와 페이로드가 즉시 풀립니다. 복사 버튼으로 토큰을 바꾸지 않고 각각의 JSON을 복사할 수 있습니다.
3. 시간 클레임에서 exp·iat·nbf의 Unix 초 값, 기기 시간, UTC, 실시간 상대 시간을 함께 확인합니다.
4. 이 화면은 내용을 읽기만 합니다. 실제 서비스나 ID 공급자에서 서명·발급자·대상·권한을 반드시 검증합니다.

이 디코더가 읽는 JWT 형식

일반적인 서명 JWT는 JWS Compact Serialization 형식으로, `header.payload.signature`처럼 Base64URL 세 부분을 점 두 개로 연결합니다. 헤더와 페이로드는 인코딩된 JSON이어서 비밀키 없이 읽을 수 있습니다. 세 번째 부분은 서명이며 JSON으로 풀지 않고, 화면에 표시됐다는 이유만으로 진짜 토큰이라고 판단하지 않습니다. 점으로 다섯 부분인 값은 암호화 JWT(JWE)라서 수신자 키 없이는 클레임을 읽을 수 없습니다.

이 도구는 JWS에서 쓰는 패딩 없는 Base64URL만 받고, `=` 패딩, 잘못된 바이트, JSON이 아닌 값, 객체가 아닌 배열을 명확히 거절합니다. HTTP Authorization 헤더에서 복사한 `Bearer ` 접두사도 함께 붙여 넣을 수 있습니다.

JWT 시간 클레임 읽는 법

RFC 7519의 `exp`(만료), `nbf`(유효 시작), `iat`(발급)는 윤초를 제외한 1970-01-01T00:00:00Z부터의 초인 NumericDate입니다. `exp`는 배타적 경계이므로 exp와 정확히 같은 초부터 이 도구는 만료로 표시합니다. `nbf`는 정확히 그 초부터 사용할 수 있습니다.

시간 클레임은 상대 시간만 보여 주지 않고 기기 기준 시각과 UTC를 함께 표시합니다. 시간대나 기기 시계가 맞지 않아 생기는 문제를 바로 비교할 수 있습니다. `"exp": "1704067200"`처럼 문자열로 넣은 값은 NumericDate가 아니므로 숫자로 조용히 바꾸지 않고 오류로 표시합니다.

디코딩은 인증이 아닙니다

Base64URL은 되돌릴 수 있는 인코딩이지 암호화가 아닙니다. 일반적인 서명 JWT를 가진 사람은 누구나 헤더와 클레임을 읽을 수 있습니다. 반대로 읽힌 토큰이라도 위조됐거나 발급자·대상·알고리즘·서명이 맞지 않을 수 있습니다. 이 페이지에서는 형식과 시간을 확인하고, 토큰을 실제로 받는 서비스에서 신뢰하는 키와 검증 규칙으로 판단해야 합니다.

입력한 토큰은 이 페이지 안에서만 처리하고 브라우저 저장소에 남기지 않습니다. 새로고침하거나 페이지를 닫으면 이 도구의 입력도 사라집니다.

자주 묻는 질문