JWT Decoder 사용 방법: 완벽 가이드 (2026)

JWT Decoder이란 무엇인가요?

JWT 디코더는 JSON Web Token을 세 부분 Base64URL로 나눠 헤더, 페이로드 클레임, 서명을 읽을 수 있게 합니다. ToolsMinify의 무료 JWT 디코더는 브라우저에서 JSON을 예쁘게 출력하고 Decode에서는 서명을 검증하지 않습니다. 같은 페이지 Encode 탭은 Web Crypto로 컴팩트 HS256 테스트 토큰에 서명 - 비밀은 기기 밖으로 나가지 않습니다. 붙여 넣은 내용은 업로드되지 않습니다.

브라우저에서 JWT header, payload, signature 디코딩. 같은 페이지에서 HS256 테스트 토큰 Encode. 무료 JSON Web Token decoder - 업로드 없음.

JWT Decoder을(를) 사용하는 이유

• 헤더, 페이로드, 서명을 한 화면에서 확인
• 섹션별 복사 버튼이 있는 포맷된 JSON
• 선택적 Bearer 접두사 자동 제거
• 구조, Base64URL, JSON 오류를 명확히 표시
• Encode 탭에서 브라우저 내 HS256 서명 - 새 URL 불필요
• iat/exp용 NumericDate 칩과 32바이트 비밀 안내
• Decode는 검증하지 않고 클라이언트 측 - 토큰은 기기에 남음

JWT Decoder 사용 방법 - 단계별 안내

1. 단계 1: Decode가 기본 탭. JWT 붙여 넣기. Bearer prefix는 선택이며 자동 제거.
2. 단계 2: header·payload가 pretty-print JSON. 시간 claim(iat, exp, nbf)은 Unix 초 + UTC·local clock. signature는 raw 세 번째 segment.
3. 단계 3: Encode로 테스트 token 서명. header JSON은 alg HS256 pre-fill. payload 편집, NumericDate chip으로 iat/exp, secret 입력 후 sign.
4. 단계 4: token 복사 또는 Decode 탭으로 보내 실제 서명된 compact JSON inspect. malformed input은 structure·encoding·JSON 중 무엇이 잘못됐는지 짧은 오류.

JWT Decoder은(는) 개발자 도구에 있습니다. 도구 페이지를 열고 기본 필드에 입력을 입력하면 결과가 즉시 업데이트됩니다. 복사 버튼을 사용하여 출력을 문서, 코드 편집기 또는 스프레드시트에 붙여넣으세요.

일반적인 사용 사례

API Bearer 토큰 디버깅

Authorization 헤더 토큰을 붙여 제3자 디버거에 보내지 않고 alg, typ, sub, exp 등 클레임을 봅니다.

만료·발급 시각 클레임 확인

unauthorized로 거절될 때 페이로드의 iat와 exp를 읽고 실제 검증은 서버에서 이뤄짐을 확인합니다.

JWT 구조 학습

header.payload.signature가 JSON 객체와 Base64URL 서명에 어떻게 대응하는지, 세 번째 세그먼트가 빈 unsecured 토큰도 봅니다.

HS256 테스트 토큰 발급

Encode로 Postman이나 로컬 API용 컴팩트 HS256 JWT에 서명. NumericDate 칩으로 Unix 시간 조회 없이 iat/exp 설정, Decode에서 서명된 컴팩트 JSON 확인.

예시

• 표준 3-part JWT: header.payload.signature → JSON header(alg, typ), JSON payload(sub, iat, exp 등), Base64URL signature.
• Authorization header: Bearer eyJ... 붙여 넣기 - Bearer prefix 제거 후 decode.
• Unsecured JWT (alg none): 세 번째 segment가 비어도 decode. signature 필드 blank - verify 없음.
• HS256 test token: Encode에서 HS256 header, payload claim, dev-only secret으로 sign. Postman용 compact 3-part JWT.

전문가 팁

• Decode 탭은 서명을 검증하지 않습니다. 누구나 헤더와 페이로드를 위조할 수 있습니다.
• 통제하지 않는 온라인 디코더에 프로덕션 비밀이나 라이브 세션 토큰을 붙이지 마세요 - 이 도구는 브라우저에 있지만 습관이 중요합니다.
• 유효한 JWT는 정확히 세 부분입니다. unsecured 토큰에서 끝 점이 빠지면 실패합니다.
• exp와 iat는 초 단위 Unix 타임스탬프. 이 페이지는 UTC와 로컬 시계를 보여 주며 Unix Timestamp Converter는 한 클릭 거리입니다.
• Encode는 alg를 HS256으로 고정하고 JSON을 컴팩트 직렬화. jwt.io의 예쁜 공백은 서명을 바꿉니다 - 이 인코더는 jsonwebtoken 스타일 컴팩트 출력과 일치합니다.
• HS256 비밀은 UTF-8로 최소 32바이트. HMAC 학습에는 Hash Generator와 함께 쓰고 서버 검증 대체는 아닙니다.

자주 묻는 질문

JWT란?

JSON Web Token은 dot으로 구분된 Base64URL 3부: header, payload claims, signature. API bearer token으로 사용. Decode는 읽기, Encode는 테스트용 HS256 서명.

이 decoder가 signature를 verify하나요?

아니요. Decode 탭은 never verify. verification은 secret·public key와 trusted server 필요. decode만으로는 누구나 forge 가능.

여기서 JWT encode·sign이 가능한가요?

예, 같은 페이지 Encode 탭 - 별도 jwt-encoder URL 없음. 브라우저 HMAC-SHA256(HS256). disposable test secret, production key 금지.

HS256만 있고 RS256은 없는 이유?

HS256은 shared secret HMAC, Web Crypto로 private key upload 없이 동작. RSA/ECDSA는 key pair와 server. alg RS256 헤더와 HMAC bytes 불일치 방지를 위해 HS256 고정. message+secret raw HMAC hex는 Hash Generator HMAC 모드.

token·secret이 서버로 가나요?

아니요. Decode·Encode는 브라우저 전용. 업로드·로그·저장 없음.

오류가 보이는 이유는?

유효 JWT는 정확히 3 part. header·payload는 Base64URL JSON. extra dot, missing part, corrupted encoding은 friendly error. Encode는 invalid JSON·empty secret도 거부.

exp, sub, role claim을 이 도구만으로 trust할 수 있나요?

아니요. 누구나 claim을 넣을 수 있습니다. Decode로 debug 후 backend에서 signature verify.

Base64URL이란?

Base64에서 +,/를 -,_로 바꾸고 padding 생략이 흔함. JWT header·payload는 URL-safe encoding.

JWT exp/iat Unix timestamp를 날짜로?

JWT payload에서 iat는 issued-at, exp는 expires-at Unix time. 이 페이지는 UTC·local clock 표시. 숫자 복사는 Unix Timestamp Converter: https://www.toolsminify.com/converter-tools/timestamp-converter.

필요할 수 있는 관련 도구

ToolsMinify에서 다른 개발자 도구을(를) 살펴보세요. 관련 유틸리티는 JWT Decoder 페이지에 연결되어 있어 사이트를 떠나지 않고도 워크플로를 완료할 수 있습니다.