JWT 디코더

JWT를 디코딩하는 방법

1. 토큰에 토큰을 붙여넣으세요. Authorization: Bearer eyJ… 줄 전체도 되고, 앞뒤 따옴표나 여러 줄로 나뉜 토큰도 됩니다.
2. 결과를 읽으세요. 세 부분이 서로 다른 색으로 표시되고, 헤더와 페이로드는 보기 좋게 정렬되며, 클레임에 모든 클레임과 그 의미가 나열됩니다. exp와 iat 같은 시각은 현지 시각, UTC, “1시간 후 만료” 같은 상대 시간으로 나타납니다.
3. 서명을 확인하려면 서명 검증 아래에 공유 시크릿이나 공개 키를 붙여넣으세요. 필드 라벨은 토큰의 alg를 따릅니다. HS256/384/512는 시크릿, 나머지는 공개 키입니다.
4. 경고를 읽으세요. 도구는 alg: none, 만료된 토큰, 미래의 nbf, 없는 exp, 밀리초로 쓴 시각, 원격 키를 가리키는 헤더(jku, x5u)나 자기 키를 담은 헤더(jwk)를 표시합니다.

/jwt-decoder/#token=eyJ… 같은 링크로 토큰을 바로 열 수도 있습니다. # 뒤의 부분은 URL 프래그먼트이며, 브라우저는 프래그먼트를 서버로 보내지 않습니다.

토큰 안에 든 것

서명된 JWT(compact 형식의 JWS)는 점으로 이은 Base64URL 문자열 세 개입니다: header.payload.signature. 다음은 2026년 1월 1일에 발급되어 한 시간 동안 유효한 실제 HS256 토큰입니다.

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwczovL2F1dGguZXhhbXBsZS5jb20iLCJzdWIiOiJ1c2VyLTQyIiwiYXVkIjoiYXBpLmV4YW1wbGUuY29tIiwiaWF0IjoxNzY3MjI1NjAwLCJleHAiOjE3NjcyMjkyMDB9.U3Gb12hN5Fnpi1rJ7nrkUzIEidkg-hPnbgiIpTah3R4

첫 번째 부분은 헤더 {"alg":"HS256","typ":"JWT"}로 디코딩됩니다. 두 번째는 페이로드입니다.

{"iss":"https://auth.example.com","sub":"user-42","aud":"api.example.com","iat":1767225600,"exp":1767229200}

세 번째 부분은 앞의 두 부분으로 계산한 32바이트 HMAC-SHA256이므로, 헤더나 페이로드의 문자 하나만 바꿔도 깨집니다. 거의 모든 JWT는 {"의 Base64인 eyJ로 시작합니다. 각 부분은 = 패딩 없이 URL-safe 알파벳(-와 _)을 씁니다. 직접 디코딩하는 과정은 JWT가 Base64URL을 쓰는 방식에서 차근차근 설명합니다.

JWS와 JWE: 서명된 토큰과 암호화된 토큰

대부분의 JWT는 JWS입니다. 서명되어 있고 누구나 읽을 수 있습니다. JWE는 암호화되어 있으며 세 부분이 아니라 다섯 부분으로 됩니다: header.encrypted_key.iv.ciphertext.tag. 헤더는 읽을 수 있고, 키 관리 알고리즘(alg, 예: RSA-OAEP-256이나 dir)과 콘텐츠 암호(enc, 예: A256GCM)를 명시합니다.

JWE를 여기에 붙여넣으면 도구가 그 헤더를 디코딩해 alg, enc, kid를 보여 주고 페이로드를 암호화됨으로 표시합니다. 복호화하려면 수신자의 개인 키나 공유 키가 필요하며, 이 도구는 JWE를 복호화하지 않습니다. 사용자가 페이로드를 읽을 수 없는 토큰이 필요하다면 JWE가 맞는 형식입니다. JWS 페이로드에 비밀 값을 넣는 것은 일반 텍스트로 넣는 것과 같습니다. Base64는 암호화가 아닙니다에서 설명합니다.

JWT 클레임 참고표

처음 일곱 행은 RFC 7519의 등록 클레임이고, 나머지는 OpenID Connect와 OAuth 토큰에서 흔히 쓰입니다. 모든 시각 값은 NumericDate, 즉 1970-01-01 UTC 이후의 정수 초이며 밀리초가 아닙니다.

헤더에는 별도의 파라미터가 있습니다. alg(서명 알고리즘), typ(대개 JWT, OAuth 액세스 토큰은 at+jwt), kid(서명한 키), cty(토큰이 다른 토큰 안에 중첩될 때 JWT로 설정)입니다.

서명 검증: 어떤 키를 붙여넣어야 하나

토큰의 출처를 보여 주는 것은 서명 확인뿐이며, 필요한 키는 헤더의 알고리즘 계열에 따라 다릅니다.

ID 공급자가 발급한 토큰이라면 공개 키는 https://<issuer>/.well-known/openid-configuration에 나온 jwks_uri에 있습니다. 이 페이지는 다른 서버에 연결할 수 없어 그 URL을 가져올 수 없으므로, 새 탭에서 열어 JSON을 붙여넣으세요. JWKS를 쓰면 kid로 키를 고르고, 토큰에 kid가 없으면 호환되는 모든 키를 시도합니다.

DER 형식의 ECDSA 서명(ES256이면 64바이트 대신 대개 70–72바이트)은 감지해 변환하고 표시합니다. JWS에는 원시 r‖s가 필요하고 많은 라이브러리가 DER을 거부하기 때문입니다. 개인 키를 붙여넣어도 됩니다(공개 키 부분을 도출합니다). 다만 검증에 개인 키가 필요한 경우는 없습니다. ES256K와 Ed448은 WebCrypto에 없어서 지원하지 않습니다.

확실한 시크릿인데도 HS256 토큰 검증이 실패한다면, 설정 어딘가에 시크릿이 Base64로 인코딩되어 있고 서버가 사용 전에 디코딩하는 경우가 많습니다. 시크릿 형식을 Base64로 바꿔 다시 시도하세요.

여기서 토큰을 디코딩해도 안전한 이유

Authorization 헤더의 JWT는 만료될 때까지 실제로 작동하는 자격 증명입니다. 운영 환경의 유효한 토큰을 서버로 보내는 웹 페이지에 붙여넣으면, 그 서버를 운영하는 누군가가 토큰을 API에 재사용할 수 있고, 페이지가 그런 일을 하는지 밖에서는 대개 알 수 없습니다.

이 페이지에서는 디코딩과 WebCrypto 서명 확인이 모두 브라우저에서 실행됩니다. 페이지에는 Content Security Policy도 있는데, 이 정책의 connect-src는 Cloudflare Web Analytics가 페이지 조회수를 집계하는 /cdn-cgi/rum만 허용합니다. 그래서 페이지가 시도할 수 있는 그 밖의 모든 fetch, XHR, WebSocket, beacon 요청을 브라우저가 차단합니다. 직접 확인할 수도 있습니다. 개발자 도구의 네트워크 탭을 연 채 토큰을 붙여넣거나, 페이지를 불러온 뒤 Wi-Fi를 끄고 계속 디코딩해 보세요.

그래도 테스트 토큰이나 곧 만료될 토큰을 쓰는 편이 좋으며, 운영 토큰을 직접 관리하지 않는 곳에 붙여넣었다면 세션을 폐기하세요.

만료된 토큰, nbf, 시계 오차

exp와 nbf는 검증하는 쪽의 시계를 기준으로 확인하는데, 시계는 어긋납니다. 시계가 30초 빠른 서버가 발급한 토큰은 iat와 nbf가 미래인 채로 도착해 “아직 유효하지 않음"으로 거부될 수 있습니다. 그래서 JWT 라이브러리는 작은 허용 오차를 둡니다. PyJWT의 leeway, jsonwebtoken과 jose의 clockTolerance가 그것입니다.

이 디코더는 시각을 기기의 시계와 비교해 결과를 알기 쉬운 말로 알려 줍니다. exp는 “2일 전 만료됨”, nbf는 남은 시간과 함께 “아직 유효하지 않습니다”, 그리고 iat가 미래라면 발급자의 시계를 의심하라는 경고를 보여 줍니다. 1767229200000 같은 값은 밀리초로 표시됩니다. 초로 읽으면 수만 년 뒤가 되는데, 코드에서 Math.floor(Date.now() / 1000) 대신 Date.now()를 쓸 때 흔히 생기는 버그입니다.

검증 없이 코드에서 클레임만 읽는다면 Python 표준 라이브러리로 충분합니다.

import base64, json

def b64url_decode(part):
    return base64.urlsafe_b64decode(part + "=" * (-len(part) % 4))

header_b64, payload_b64, signature_b64 = token.split(".")
print(json.loads(b64url_decode(payload_b64)))

Node.js에서는 JSON.parse(Buffer.from(payload_b64, "base64url").toString("utf8"))가 같은 일을 합니다. 권한 결정에는 서명을 검증하고 허용 알고리즘을 고정하는 라이브러리를 쓰세요. 더 많은 코드는 Python과 Node.js 페이지에 있습니다.

테스트용으로 토큰을 만들거나 다시 서명하려면 JWT 인코더를 사용하세요. 한 부분만 따로 디코딩하려면 Base64URL 디코더를 쓰면 됩니다.

자주 묻는 질문