JWT 디코더
이 JWT 토큰 안에 무엇이 들었고 언제 만료될까?
JWT 는 헤더·페이로드·서명을 점(.)으로 이은 토큰입니다(RFC 7519).
RFC 7519 (JWT) 기준 · 서버로 보내지 않음 · 서명 검증 안 함 · 업데이트
상태
-
자주 보는 클레임 (RFC 7519)
| 이름 | 뜻 |
|---|---|
iss | 발급한 곳 |
sub | 토큰의 주인(사용자 ID) |
aud | 받을 곳(서비스) |
exp | 만료 시각 (초) |
nbf | 이때부터 유효 (초) |
iat | 발급 시각 (초) |
jti | 토큰 고유 번호 |
결과가 이상한가요?
어떻게 계산했나요
RFC 7519 (JWT) 기준 · 서버로 보내지 않음 · 서명 검증 안 함
- JWT(RFC 7519)는 헤더·페이로드·서명을 점(.)으로 이은 토큰입니다. 앞 두 조각을 Base64url(RFC 4648 5절)로 풀어 JSON 으로 보여 드립니다
- exp·iat·nbf 는 1970-01-01 0시(UTC)부터 지난 초 → 한국 시간(KST, UTC+9)
- 서명은 검증하지 않습니다 (키가 필요하고, 키·토큰을 웹에 넣지 않게)
- 점으로 나뉜 조각이 5개인 JWE(암호화 토큰)는 키 없이 풀 수 없다고 알려 드립니다
- 토큰과 결과는 서버·분석 도구·주소창·브라우저 저장소 어디에도 보내거나 남기지 않습니다
자주 묻는 질문
토큰을 넣어도 안전한가요?
토큰은 이 기기의 브라우저 안에서만 풀고, 서버·분석 도구·주소창·브라우저 저장소 어디에도 보내거나 남기지 않습니다. 그래도 운영 토큰은 그 자체로 로그인 권한이니, 공용 컴퓨터라면 다 본 뒤 칸을 지우고 필요하면 토큰을 폐기하세요.
서명이 맞는지도 확인하나요?
아니요. 서명을 확인하려면 비밀키나 공개키가 필요하고, 키를 웹에 넣는 것은 위험해서 이 도구는 서명을 확인하지 않습니다. 내용이 보인다고 진짜 토큰이라는 뜻은 아닙니다. 서명 확인은 서버의 JWT 라이브러리로 하세요.
JWT 는 암호화된 건가요?
일반 JWT(JWS)는 암호화가 아니라 Base64url 로 바꾼 것이라 누구나 내용을 볼 수 있습니다. 비밀번호·주민번호 같은 정보를 페이로드에 넣으면 안 됩니다. 점으로 나뉜 조각이 5개인 JWE 만 암호화된 토큰입니다.
exp·iat·nbf 는 무엇인가요?
RFC 7519 의 시간 클레임입니다. exp 는 만료 시각, iat 는 발급 시각, nbf 는 이때부터 유효하다는 시각이고, 모두 1970-01-01 0시(UTC)부터 지난 초입니다. 이 도구는 한국 시간(KST)으로 바꾸고 만료까지 남은 시간을 보여 드립니다.
alg 가 none 이면?
서명이 없는 토큰이라는 뜻입니다. 서버가 alg: none 토큰을 받아 주면 누구나 위조할 수 있으니, 서버에서는 허용할 알고리즘을 정해 두고 검증해야 합니다.