JWT 디코더

JWT(JSON Web Token)는 마침표로 구분된 헤더, 페이로드, 서명으로 구성됩니다. 디코딩은 암호 해독이 아니며 누구나 내용을 읽을 수 있습니다.

세 구간의 의미

헤더에는 서명 알고리즘, 페이로드에는 클레임, 마지막 구간에는 서명 값이 들어갑니다.

• alg는 서명에 사용했다고 주장하는 알고리즘이며 typ은 보통 JWT입니다.
• 페이로드에는 사용자 정의 데이터와 표준 등록 클레임이 함께 들어갈 수 있습니다.
• 이 도구는 서명 구간의 존재만 확인하며 비밀키나 공개키로 검증하지 않습니다.

등록 클레임 이해

등록 클레임은 JWT에서 공통으로 사용하는 짧은 키입니다.

• iss는 발급자, sub는 토큰의 주체, aud는 사용할 대상을 뜻합니다.
• iat는 발급 시각, nbf는 사용 가능 시작, exp는 만료 시각이며 모두 초 단위 Unix 시간입니다.
• 현재 시간상 사용 가능 표시는 시간 값만 비교한 결과이며 실제 권한이나 서명 유효성을 뜻하지 않습니다.

상세 활용법

API 개발 중 토큰에 기대한 클레임이 들어갔는지 빠르게 확인할 때 유용합니다.

• 401 오류가 발생하면 exp, nbf, aud, iss 값을 서버 설정과 비교하세요.
• 헤더의 alg가 서버에서 허용한 알고리즘인지 별도로 확인하세요.
• 복사 버튼으로 JSON만 분리해 로그나 디버거에서 비교할 수 있습니다.

보안 주의사항

디코딩 성공은 토큰 신뢰를 의미하지 않습니다.

• 운영 환경에서는 반드시 서버 측 JWT 라이브러리로 서명, 발급자, 대상, 만료를 함께 검증하세요.
• JWT 페이로드에는 비밀번호나 노출되면 안 되는 개인정보를 넣지 마세요.
• 입력 토큰은 서버로 전송하지 않지만 공유 기기의 클립보드와 화면 노출에 주의하세요.