JWT 디코더

JWT 디코더 사용 가이드

JWT(JSON Web Token)는 점(.)으로 나뉜 세 부분 header.payload.signature로 이뤄진 인증 토큰입니다. 앞의 두 부분은 Base64URL로 인코딩된 JSON이라 누구나 풀어 볼 수 있습니다. 이 디코더는 토큰을 붙여 넣는 즉시 header와 payload를 들여쓰기된 JSON으로 보여 줍니다.

그 아래에는 시간 클레임이 정리됩니다. iat(발급), nbf(사용 시작), exp(만료)를 Unix 시간과 한국 시간, '3시간 후'·'2일 전' 같은 상대 시간으로 함께 보여 주고, 지금 기준 상태를 '유효 (만료까지 50분)', '만료됨', '아직 사용할 수 없음 (nbf 이전)' 중 하나로 판정합니다. exp가 없으면 무기한 토큰이라 exp를 넣으라고 안내하고, iat와 exp가 모두 있으면 토큰 수명을 분 단위로 계산합니다.

흔한 실수도 짚어 줍니다. 1718700000000처럼 13자리인 값은 밀리초로 넣은 것이라 초 단위 값을 알려 주고, 발급 시각이 현재보다 미래면 서버 시계가 어긋났을 수 있다고 경고합니다. header의 alg가 none이면 서명 없는 토큰이라 서버가 반드시 거부해야 한다고 표시합니다.

이 도구는 내용만 풀어 보여 주고 서명은 검증하지 않습니다. 화면에 내용이 보인다고 토큰이 진짜라는 뜻은 아니며, 서명 검증은 서버에서 비밀 키나 공개 키로 해야 합니다.

사용 방법

1. 1JWT 토큰 전체를 입력란에 붙여 넣습니다. 'Bearer ' 접두어는 지우고 넣습니다.
2. 2HEADER에서 알고리즘(alg)과 형식(typ)을, PAYLOAD에서 sub, exp, iat 같은 클레임을 확인합니다.
3. 3아래 상태 문구와 시간 클레임에서 구조가 유효한지, 지금 쓸 수 있는 토큰인지, 수명이 의도한 길이인지 확인합니다.

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IlRvb2xCYWRhIiwiaWF0IjoxNzE4NzAwMDAwfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

HEADER
{ "alg": "HS256", "typ": "JWT" }
PAYLOAD
{ "sub": "1234567890", "name": "ToolBada", "iat": 1718700000 }

이럴 때 쓰면 좋아요

• 로그인 오류가 날 때 토큰이 만료됐는지, 아직 nbf 이전인지 확인할 때
• 토큰에 어떤 사용자 정보와 권한(role, scope)이 담겼는지 볼 때
• 인증 서버 설정 후 발급된 토큰의 알고리즘과 수명(exp − iat)을 점검할 때
• 모바일 앱이 밀리초 단위로 exp를 넣어 토큰이 영원히 유효해지는 실수를 찾을 때

문제가 생겼을 때

활용 팁

• payload는 암호화가 아니라 인코딩일 뿐이라 누구나 읽을 수 있습니다. 비밀번호나 주민등록번호 같은 민감한 정보를 JWT에 넣으면 안 됩니다.
• 실서비스 토큰을 붙여 넣을 때는 이미 만료됐거나 테스트용인 토큰을 쓰는 습관이 안전합니다.
• 서버는 서명을 먼저 검증한 뒤 시간 클레임을 확인해야 하고, 서버 사이 시계 차이를 고려해 보통 1~2분의 오차를 허용합니다.

자주 묻는 질문