JWT 디코더
JWT(JSON Web Token)의 헤더와 페이로드를 신속하게 디코딩하고 검증합니다. 안전한 브라우저 환경에서 간편하게 사용하세요.
아래에 JSON 웹 토큰을 붙여넣어 디코딩하세요. 토큰은 세션 내에서만 처리되며, 로깅하거나 저장하지 않습니다.
AI 에이전트에서 이 도구를 사용하세요
무료 JSON API와 Model Context Protocol (MCP) 서버. 가입 불필요, API 키 불필요, CORS 개방. Claude, ChatGPT, Cursor, 스크립트, 프런트엔드 앱을 위해 설계되었습니다.
curl -X POST https://mate.tools/api/v1/jwt-decode.php \
-H "Content-Type: application/json" \
-d '{"token":"eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjMifQ.signature","secret":"your-256-bit-secret"}'import urllib.request, json
req = urllib.request.Request(
"https://mate.tools/api/v1/jwt-decode.php",
data=json.dumps({"token":"eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjMifQ.signature","secret":"your-256-bit-secret"}).encode(),
headers={"Content-Type": "application/json"},
)
with urllib.request.urlopen(req) as r:
print(json.load(r))const r = await fetch("https://mate.tools/api/v1/jwt-decode.php", {
method: "POST",
headers: { "Content-Type": "application/json" },
body: JSON.stringify({"token":"eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjMifQ.signature","secret":"your-256-bit-secret"}),
});
console.log(await r.json()); claude_desktop_config.json(Claude Desktop), ~/.cursor/mcp.json(Cursor) 또는 다른 MCP 호환 클라이언트에 추가하세요:
{
"mcpServers": {
"mate-tools": {
"command": "npx",
"args": ["-y", "@mate-tools/mcp-server"]
}
}
}사용 방법
- 위의 입력 필드에 JWT 토큰을 붙여넣습니다.
- 디코딩을 클릭하여 헤더, 페이로드, 서명을 봅니다.
- 서명 검증을 위해 비밀키(HS256/384/512) 또는 공개키(RS256/384/512)를 제공합니다.
- 만료 상태를 확인하여 토큰이 여전히 활성 상태인지 확인합니다.
주요 기능
- 한 번의 클릭으로 JWT 헤더와 페이로드 디코딩
- 비밀키로 HS256, HS384, HS512 서명 검증
- 공개키로 RS256, RS384, RS512 서명 검증
- 만료, 유효 시작, 발급 시간 타임스탬프를 사람이 읽을 수 있는 형식으로 표시
- 토큰은 절대 서버에 기록되거나 저장되지 않음
일반적인 사용 사례
- 애플리케이션의 인증 흐름 디버깅
- OAuth 또는 OpenID Connect 공급자가 반환한 토큰 검사
- 액세스 토큰의 만료 시점 확인
- 토큰이 예상한 발급자에 의해 서명되었는지 검증
자주 묻는 질문
JWT는 두 당사자 간에 클레임을 표현하는 컴팩트하고 URL 안전한 방법입니다. 점으로 구분된 헤더, 페이로드, 서명의 세 부분으로 구성됩니다. JWT는 인증 및 권한 부여(OAuth 2.0, OpenID Connect, 싱글 사인온)에 널리 사용됩니다.
네 — PHP가 토큰을 디코딩하고 (선택적으로) 서명을 검증할 수 있도록 토큰이 서버로 전송됩니다. 토큰은 절대 기록되지 않고, 절대 저장되지 않으며, 절대 디스크에 기록되지 않습니다. 요청 기간 동안만 메모리에 존재합니다.
공유 비밀키를 제공하면 HS256, HS384, HS512(SHA-2와 HMAC)를 검증하고, PEM 형식의 발급자 공개키를 제공하면 RS256, RS384, RS512(SHA-2와 RSA)를 검증합니다. 기타 알고리즘(ES256, EdDSA 등)은 디코딩되지만 검증되지 않습니다.
exp(만료) 클레임은 토큰을 더 이상 받아들여서는 안 되는 Unix 타임스탬프입니다. 서명이 유효하더라도 만료된 JWT는 서버에서 거부되어야 합니다. 새 액세스 토큰을 얻으려면 리프레시 토큰을 사용하세요.
아니요. JWT를 디코딩하는 것은 단지 그 내용을 읽는 것일 뿐 — 토큰이 진짜라는 증거가 아닙니다. 토큰 내의 어떤 클레임이라도 신뢰하기 전에 항상 발급자의 비밀키 또는 공개키로 서명을 검증해야 합니다.
