JWT 토큰 디코딩 방법 (Header, Payload, Signature)

JWT(JSON Web Token)는 점으로 구분된 세 부분으로 이루어진 컴팩트한 토큰입니다. 각 부분은 Base64URL로 인코딩되어 있어 디코딩하면 header, payload, signature를 읽을 수 있습니다. NeatForge JWT 디코더 는 토큰을 브라우저에서 즉시 디코딩하여 JSON으로 보여줍니다.

JWT란 무엇인가요?

JWT는 인증 정보를 안전하게 전달하기 위한 개방형 표준(RFC 7519)입니다. 서버가 사용자 인증 후 토큰을 발급하면, 클라이언트는 이후 요청에 토큰을 포함해 인증 상태를 유지합니다.

JWT는 다음 형태를 가집니다.

xxxxx.yyyyy.zzzzz

세 부분은 각각 header, payload, signature이며 점(.)으로 구분됩니다.

세 부분은 각각 무엇인가요?

• Header — 토큰 유형(typ)과 서명 알고리즘(alg, 예: HS256, RS256)을 설명합니다.
• Payload — 사용자 ID, 역할, 만료 시간 등 클레임(claim)을 포함합니다.
• Signature — 비밀키로 header와 payload를 서명한 값으로, 무결성 검증에 사용됩니다.

Header와 Payload는 Base64URL로 인코딩된 JSON입니다. Base64URL에 대한 자세한 설명은 Base64 인코딩/디코딩 가이드를 참고하세요.

iat, nbf, exp 클레임은 무엇을 의미하나요?

표준 시간 클레임은 초 단위의 Unix 타임스탬프로 저장됩니다.

• iat(issued at) — 토큰이 발급된 시간.
• nbf(not before) — 토큰이 유효해지는 가장 이른 시간.
• exp(expiration) — 토큰이 만료되는 시간.

exp가 지나면 서버는 토큰을 거부해야 하며, nbf 이전에는 아직 유효하지 않습니다.

디코딩과 검증의 차이는? (중요)

이 구분을 반드시 이해해야 합니다.

• 디코딩 — Base64URL을 풀어 클레임을 읽기만 하는 것. 누구나 할 수 있으며 서명을 확인하지 않습니다.
• 검증 — 서명을 비밀키/공개키로 확인하여 토큰이 신뢰할 수 있는 발급자에서 왔고 변조되지 않았음을 증명하는 것.

디코딩된 클레임은 사실이 아니라 “주장”일 뿐입니다. 누구나 원하는 클레임으로 토큰을 만들 수 있으므로, 인증 결정은 반드시 서명 검증 후에 내려야 합니다.

안전하게 JWT를 디코딩하는 방법

1. JWT 디코더 를 엽니다.
2. JWT를 입력 상자에 붙여넣습니다.
3. 디코딩된 header와 payload가 JSON으로 표시됩니다.
4. iat, nbf, exp 클레임 상태를 확인합니다 — 만료되거나 아직 유효하지 않은 토큰은 색상으로 표시됩니다.
5. 필요시 디코딩된 JSON을 복사합니다.

개인정보 보호

JWT의 payload는 암호화되지 않고 단지 인코딩되어만 있으므로 민감한 개인정보를 넣지 마세요. NeatForge는 모든 디코딩을 브라우저에서 로컬로 처리하며 토큰은 업로드·저장·로깅되지 않습니다. 신뢰할 수 없는 사이트에는 토큰을 붙여넣지 말고, 스크린샷이나 지원 티켓에도 JWT를 공유하지 마세요.

자주 묻는 질문

이 도구는 JWT 서명을 검증하나요? 아니요. 디코딩만 수행하며 서명은 검증하지 않습니다. 검증에는 서명 비밀키 또는 공개키가 필요합니다.

여기에 JWT를 붙여넣어 안전한가요? 네. 모든 디코딩은 브라우저에서 로컬로 이루어지며 토큰은 서버로 전송되지 않습니다. 단, 신뢰할 수 없는 사이트에는 토큰을 붙여넣지 마세요.

Base64URL 인코딩이란 무엇인가요? + 대신 -, / 대신 _를 사용하고 = 패딩을 생략하는 Base64 변형으로, URL과 JSON에서 안전하게 사용할 수 있습니다.

→ 무료 JWT 디코더 열기