서명(signature)도 검증하나요?

시크릿 키를 입력하면 HS256 방식 서명을 브라우저에서 검증할 수 있습니다. 시크릿 없이는 헤더·페이로드 내용만 디코딩해 보여줍니다.

RS256 등 비대칭 알고리즘도 검증되나요?

현재는 대칭키 방식인 HS256 서명 검증만 지원합니다. RS256 등은 헤더·페이로드 디코딩까지만 지원합니다.

입력한 토큰·시크릿이 서버로 전송되나요?

전송되지 않습니다. 디코딩과 서명 검증(Web Crypto API) 모두 브라우저 안에서만 처리됩니다.

🪪 JWT 디코더

JWT를 붙여넣으면 헤더·페이로드를 확인하고, 시크릿을 입력하면 HS256 서명도 검증합니다.

JWT

HS256 시크릿 (선택, 서명 검증용)

사용법

JWT 문자열을 붙여넣으세요.
헤더·페이로드가 즉시 디코딩되어 표시됩니다.
서명까지 확인하려면 HS256 시크릿을 입력하세요.

🎯 이럴 때 씁니다

로그인 후 발급된 토큰의 만료 시간(exp) 확인 — 세션이 언제 끊기는지, 갱신 로직이 제때 동작하는지 점검
백엔드 인증 버그 디버깅 시 페이로드 내용 확인 — role·permissions 등 커스텀 클레임이 의도한 값으로 들어갔는지 확인
서명 시크릿이 올바른지 로컬에서 빠르게 검증 — 환경변수로 설정한 JWT_SECRET이 실제 발급 토큰과 일치하는지 테스트
타사 API·SSO 연동 시 수신한 토큰 구조 파악 — 문서화되지 않은 클레임 구조를 직접 열어보고 파싱 로직 설계

입력 · 출력 예시

입력

JWT: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkFsaWNlIiwicm9sZSI6ImFkbWluIiwiaWF0IjoxNzAwMDAwMDAwLCJleHAiOjE3MDAwMDM2MDB9.dbgl-1IyaylYQy8Qi72rq4rccV2SP1uxfEMWpg5mskU
HS256 시크릿: my-secret-key

출력

HEADER  { "alg": "HS256", "typ": "JWT" }
PAYLOAD { "sub": "1234567890", "name": "Alice", "role": "admin",
          "iat": 1700000000, "exp": 1700003600 }
발급(iat): 2023. 11. 15. / 만료(exp): 2023. 11. 15.
✅ 서명이 유효합니다

HS256으로 서명된 토큰을 붙여넣으면 헤더·페이로드가 디코딩되고 exp·iat 시각이 사람이 읽기 쉬운 형태로 표시됩니다. 올바른 시크릿(my-secret-key)을 입력하면 서명이 유효한 것으로 검증됩니다.

JWT 표준 클레임(Registered Claims)

JWT 페이로드에는 자유롭게 커스텀 필드를 넣을 수 있지만, RFC 7519가 정의한 표준 클레임도 함께 쓰이는 경우가 많습니다. 이 도구는 아래 시간 관련 클레임을 자동으로 사람이 읽기 쉬운 날짜로 변환해 보여줍니다.

클레임	의미	형식
iss (issuer)	토큰 발급자	문자열
sub (subject)	토큰이 가리키는 대상(보통 사용자 ID)	문자열
aud (audience)	토큰의 수신 대상(어느 서비스용인지)	문자열/배열
exp (expiration)	만료 시각 — 이 이후 토큰은 무효	Unix 타임스탬프(초)
nbf (not before)	이 시각 이전에는 토큰이 아직 유효하지 않음	Unix 타임스탬프(초)
iat (issued at)	토큰 발급 시각	Unix 타임스탬프(초)

자주 묻는 질문

서명(signature)도 검증하나요?: 시크릿 키를 입력하면 HS256 방식 서명을 브라우저에서 검증할 수 있습니다. 시크릿 없이는 헤더·페이로드 내용만 디코딩해 보여줍니다.
RS256 등 비대칭 알고리즘도 검증되나요?: 현재는 대칭키 방식인 HS256 서명 검증만 지원합니다. RS256 등은 헤더·페이로드 디코딩까지만 지원합니다.
디코딩만으로 토큰이 위조되지 않았다고 믿어도 되나요?: 아닙니다. 서명 검증 없이 디코딩된 페이로드는 base64url을 풀어본 것일 뿐 누구나 조작할 수 있는 값입니다. 반드시 시크릿(또는 서버 측 공개키)으로 서명을 검증해야 신뢰할 수 있습니다.
입력한 토큰·시크릿이 서버로 전송되나요?: 전송되지 않습니다. 디코딩과 서명 검증(Web Crypto API) 모두 브라우저 안에서만 처리됩니다.