JWT 디코더·검증기

JWT 디코더·검증기 소개

JSON Web Token(JWT)은 점으로 구분된 base64url 세 부분으로 이루어진 짧은 문자열입니다. 서명 알고리즘을 적은 헤더, 사용자 ID나 만료 시각 같은 클레임을 담은 페이로드, 그리고 서명입니다. 앞의 두 부분은 암호화가 아니라 인코딩되어 있을 뿐이라 누구나 디코딩할 수 있지만, 토큰이 정말 키를 가진 쪽에서 발급되었는지는 서명으로만 알 수 있습니다.

이 도구는 헤더와 페이로드를 디코딩하고, exp, nbf, iat 타임스탬프를 읽기 쉬운 날짜로 바꾸며, 토큰이 만료되었는지 알려 줍니다. 서명에 쓴 비밀 키나 발급자의 공개 키를 붙여넣으면 서명도 검증합니다. 토큰과 키는 브라우저 안에서 처리되며 서버로 전송되지 않습니다. 액세스 토큰으로 실제 계정에 접근할 수 있으므로 이 점이 중요합니다.

사용 방법

1. "토큰" 상자에 토큰을 붙여넣으세요. 맨 앞의 "Bearer "와 줄바꿈은 자동으로 지워집니다.
2. 디코딩된 "헤더"와 "페이로드"를 읽고, "클레임" 표에서 발급자, 주체, 대상, 유효 기간을 확인하세요.
3. 서명을 확인하려면 "서명 검증"으로 가세요. HS256, HS384, HS512라면 공유 비밀 키를 입력하고, 비밀 키가 base64로 인코딩되어 있으면 "비밀 키가 base64로 인코딩됨"을 체크하세요.
4. RS, PS, ES, EdDSA 토큰이라면 공개 키를 PEM 블록, X.509 인증서, JWK, 또는 JWKS 전체로 붙여넣으세요.
5. "검증"을 클릭하세요. 결과에서 서명이 올바른지 확인할 수 있습니다.

기능

• 읽기 쉬운 클레임: 만료 시각, 유효 시작 시각, 발급 시각을 UTC, 내 시간대, 지금 기준 상대 시간으로 보여 주며, 현재 상태도 실시간으로 표시합니다.
• 서명 검증: 브라우저의 Web Crypto API로 HS256/384/512, RS256/384/512, PS256/384/512, ES256/384/512, EdDSA(Ed25519)를 지원합니다.
• 다양한 키 입력: SPKI PEM 공개 키, X.509 인증서, 단일 JWK, JWK 세트를 받으며, JWK 세트에서는 kid로 키를 고릅니다.
• 명확한 오류 메시지: 토큰의 부분 개수가 맞지 않는지, base64url이나 JSON이 올바르지 않은지, 암호화된 JWE인지 알려 줍니다.
• 개인정보를 지키는 설계: 아무것도 업로드하거나 저장하지 않습니다. 키는 이 브라우저 탭 안에만 있으며 탭을 닫으면 사라집니다.

사용 예

제한 사항과 참고

• 암호화된 토큰(JWE, 다섯 부분)은 복호화할 수 없습니다.
• JWKS URL에서 키를 내려받지 않습니다. URL의 JSON을 복사해 붙여넣으세요.
• PKCS#1 "BEGIN RSA PUBLIC KEY" 블록은 지원하지 않습니다. 먼저 SPKI "BEGIN PUBLIC KEY" 블록으로 변환하세요.
• 검증은 서명만 확인합니다. 발급자, 대상 등 다른 클레임이 받아들일 만한지는 애플리케이션이 판단할 일입니다.
• 오래된 브라우저는 EdDSA(Ed25519)를 지원하지 않을 수 있습니다. 키나 알고리즘을 지원하지 않으면 도구가 알려 줍니다.

자주 묻는 질문