헤더 (Header)
페이로드 (Payload)
서명 (Signature)
즉시 디코딩하려면 위에 JWT를 붙여넣으세요.
무료 JWT 디코더 및 디버거
JSON Web Token을 붙여넣어 헤더와 페이로드를 즉시 디코딩하고, 만료 상태를 확인하며, 서명(HS256, RS256, ES256, PS256 등)을 검증하세요. 100% 클라이언트 측에서 처리되므로 토큰이 브라우저 밖으로 유출되지 않습니다.
9
지원되는 알고리즘
100%
브라우저 기반 보안
0
서버 전송 데이터 없음
JWT의 구성 요소
헤더 (Header)
서명 알고리즘(alg)과 토큰 유형(typ)을
지정하는 작은 JSON 객체입니다. 암호화되지 않고 디코딩만 되므로 토큰을 가진 누구나 볼 수 있습니다.
페이로드 (Payload)
클레임(Claims) — 토큰이 나타내는 대상(sub)이나 만료
시간(exp)과 같은 실제 데이터입니다. 이 역시 인코딩만 되어 있으므로 절대 비밀
데이터로 취급하지 마세요.
서명 (Signature)
헤더와 페이로드에 대한 암호화 서명입니다. 이 부분만이 토큰이 진짜이며 수정되지 않았음을 증명하며, 이를 확인하려면 올바른 키가 필요합니다.
HMAC 또는 공개 키로 서명됨자주 묻는 질문 (FAQ)
JWT 디코더는 어떤 기능을 하나요?
JWT 디코더는 토큰을 헤더, 페이로드, 서명 세 부분으로 분리한 다음 헤더와 페이로드를 Base64URL 디코딩하여 사용된 알고리즘, 서브젝트(sub), 만료 시간과 같은 실제 클레임(Claim)과 메타데이터를 읽을 수 있도록 변환해 줍니다.
JWT를 디코딩하는 것이 검증하는 것과 동일한가요?
아닙니다. 디코딩은 단순히 토큰의 읽을 수 있는 내용을 보여주는 것일 뿐이며 어떤 비밀 키도 필요하지 않고 진위 여부를 증명하지도 않습니다. 검증(Verification)은 서명을 비밀 키나 공개 키와 대조하여 토큰이 진짜이고 변조되지 않았음을 확인하는 작업입니다. 누구나 JWT를 디코딩할 수 있지만, 올바른 키를 가진 사람만이 검증할 수 있습니다.
JWT를 디코딩하려면 비밀 키가 필요한가요?
아닙니다. JWT의 헤더와 페이로드는 암호화되지 않고 Base64URL로 인코딩되어 있으므로 누구나 키 없이 디코딩하고 읽을 수 있습니다. 비밀 키 또는 공개 키는 읽을 수 있는 내용을 디코딩할 때가 아니라 서명을 검증할 때만 필요합니다.
제 토큰 데이터가 서버로 전송되나요?
아닙니다. 이 도구는 JavaScript와 Web Crypto API를 사용하여 브라우저 내에서 완전히 실행됩니다. 사용자의 토큰, 비밀 키 및 공개 키는 절대 외부로 전송되지 않습니다. 도구를 사용하는 동안 브라우저의 '네트워크(Network)' 탭을 확인하여 이를 직접 검증해 볼 수 있습니다.
이 도구로 RS256 또는 ES256 토큰을 검증할 수 있나요?
네. 이 디코더는 공유 비밀 키를 사용하는 HMAC 알고리즘(HS256, HS384, HS512)과 PEM 형식의 공개 키를 사용하는 공개 키 알고리즘(RS256/384/512, ES256/384/512, PS256/384/512)에 대한 서명 검증을 지원합니다.
토큰이 만료된 것으로 나타나는 이유는 무엇인가요?
JWT에는 일반적으로 exp 클레임이 포함되며, 이는 토큰이 언제 유효성을 상실하는지를
나타내는 Unix 타임스탬프입니다. 현재 시간이 해당 타임스탬프를 초과한 경우 토큰은 만료된 것이며,
서명 자체가 여전히 유효하더라도 이 토큰을 확인하는 모든 서버에서 거부되어야 합니다.
alg: none은 무엇을 의미하며 왜 경고가 표시되나요?
알고리즘 'none'은 토큰에 서명이 전혀 없음을 의미합니다. 이는 잘 알려진 JWT 취약점입니다 — 잘못 구성된 일부 라이브러리는 아무런 확인 없이 이 토큰을 유효한 것으로 간주하여 공격자가 임의의 클레임을 위조할 수 있게 합니다. 프로덕션 시스템에서는 서명되지 않은 토큰을 항상 거부해야 합니다.
새로운 비밀 키 생성이 필요하신가요?
새로운 토큰을 서명할 때 사용할 수 있는 암호학적으로 안전한 JWT 비밀 키를 생성하세요 — 100% 무료, 브라우저 기반으로 즉시 생성됩니다.
JWT 비밀 키 생성기로 이동