JWT 디코더

JWT 디코더 사용법

토큰 입력란에 eyJhbGciOi...로 시작하는 JWT 문자열 전체를 붙여넣으면 됩니다. 이 도구는 점(.)을 기준으로 토큰을 세 조각(헤더·페이로드·서명)으로 나눈 뒤, 앞의 두 조각을 Base64URL 디코딩해 사람이 읽을 수 있는 JSON으로 즉시 펼쳐 보여줍니다. Bearer 접두어가 붙어 있어도 알아서 걸러 처리합니다. 모든 계산은 브라우저 안에서만 실행되므로, 붙여넣은 토큰이 서버로 전송되지 않습니다.

세 조각이 각각 무엇을 담는가

JWT는 헤더.페이로드.서명 구조입니다. 각 부분의 의미는 다음과 같습니다.

이 도구는 exp, iat, nbf 같은 유닉스 타임스탬프를 함께 사람이 읽는 날짜·시각으로 변환해 만료 여부를 바로 확인하도록 돕습니다.

작동 원리 — 왜 '복호화'가 아니라 '디코딩'인가

흔히 오해하지만 JWT의 헤더·페이로드는 암호화된 것이 아니라 단순히 Base64URL로 인코딩된 것입니다. 즉 누구나 키 없이 내용을 읽을 수 있습니다. 서명은 내용을 감추는 장치가 아니라, 내용이 발급 이후 바뀌지 않았음을 증명하는 장치일 뿐입니다. 따라서 이 도구는 페이로드를 '해독'하는 게 아니라 '펼쳐서 보여줄' 뿐이며, 서명 조각은 검증용 바이너리라 JSON으로 풀리지 않습니다.

이럴 때 씁니다

API 개발 중 401/403 오류가 났을 때 토큰의 exp가 지났는지, scope·role 클레임이 기대한 값인지 눈으로 확인할 때 유용합니다. OAuth·소셜 로그인 연동 시 발급된 access token/ID token의 aud, iss가 설정과 맞는지 대조하거나, 프론트엔드에서 로그인 사용자 정보(sub, 이메일 등)가 토큰에 제대로 들어갔는지 점검할 때도 씁니다.

활용 팁

만료 확인이 목적이라면 exp 값을 현재 시각과 비교하세요. 값이 초 단위인지 밀리초 단위인지 헷갈리면 자릿수로 판단합니다(10자리는 초, 13자리는 밀리초). 민감한 개인정보나 비밀번호를 페이로드에 넣지 않는 것이 원칙인데, 이 도구로 실제 토큰을 열어 그런 값이 노출되고 있지 않은지 스스로 감사하는 용도로도 좋습니다. 붙여넣을 때 앞뒤 공백이나 줄바꿈이 섞여도 되지만, 점(.)의 개수가 2개(조각 3개)인지 확인하면 형식 오류를 빠르게 잡을 수 있습니다.

자주 묻는 질문