JWT 디코더

토큰을 전송하지 않고 JWT 확인·검증

JSON Web Token을 붙여넣으면 헤더와 페이로드를 읽기 좋은 JSON으로 즉시 해독합니다. 시간 관련 클레임 (exp, iat, nbf)은 사람이 읽는 날짜로 표시하고, 만료까지 실시간 카운트다운을 보여줍니다. 비밀키를 입력하면 HS256/384/512를, SPKI PEM 또는 JWK 공개키를 붙여넣으면 RS256/384/512·PS256/384/512·ES256/384/512를 검증합니다 — Auth0·Okta·Cognito·Google 같은 실제 IdP가 서명에 쓰는 RSA/ECDSA 알고리즘입니다. 전부 브라우저의 Web Crypto API로 처리되어 토큰·비밀키·공개키가 업로드되지 않습니다.

읽는 것과 확인하는 것은 다릅니다

JWT는 점으로 이은 base64url 문자열 셋이고, 가운데가 페이로드입니다. 암호화된 게 아니라 인코딩된 것입니다. 토큰을 가진 사람은 누구나 안의 모든 클레임을 읽을 수 있습니다. JWT에 비공개 정보를 넣으면 안 되는 이유가 이것입니다. 비밀번호도, 카드번호도, URL에 넣지 않을 것은 아무것도 넣지 마세요. 디코딩은 토큰이 무엇을 주장하는지를 알려줍니다. 그 주장을 믿어도 되는지는 서명을 확인해야 알 수 있고, 그러려면 키가 필요합니다. 시크릿이나 공개키를 넣으면 이 페이지가 확인해 줍니다. 없다면 보이는 모든 것을 사실이 아니라 누군가의 주장으로 보세요.

alg: none, 그리고 서명이 맞아도 증명되지 않는 것

헤더가 알고리즘을 지정하는데, 명세상 none도 적법한 값입니다. 서명이 아예 없는 토큰이죠. 자기 설정보다 헤더를 믿은 라이브러리들이 실제 인증 우회 사고의 원인이 됐습니다. 이 도구는 그런 토큰도 디코딩해서 그대로 보여줍니다. 보이는 것이 요점이기 때문입니다. 서명이 맞더라도 증명되는 것은 키를 가진 쪽이 이 페이로드를 발급했다는 사실뿐입니다. 토큰이 그 사람에게서 왔는지, 다른 데서 복사된 것은 아닌지, 아직 유효한지는 말해주지 않습니다. 만료는 exp 클레임에 있고 따로 확인합니다.