JWTデコード
API のトークンが期限切れかどうか確かめたいとき、ペイロードに何が入っているか見たいときに。処理はすべてブラウザ内で完結します。
🔒 入力内容はお使いのブラウザ内だけで処理され、サーバーには送信されません。
トークンはこのブラウザの中だけで処理され、サーバーへは送信されません。「Bearer 」が付いていても読み取ります。
署名の検証(HS256 のみ)
使い方
- JWT を上の欄に貼り付けます。入力した瞬間にヘッダーとペイロードが JSON で表示されます。
- 「有効期限の状態」で、exp を過ぎていないか、nbf より前でないかを確認します。日時は端末のタイムゾーンで表示します。
- HS256 のトークンで秘密鍵が手元にある場合は、秘密鍵を入力して「検証する」を押すと署名の一致を確認できます。
- ペイロードはコピーまたは JSON としてダウンロードできます。
表示の決まり
| 項目 | 扱い |
|---|---|
| 分解 | . で 3 つに分け、ヘッダー・ペイロード・署名として扱います。2 つしかない場合(署名なし)も読み取り、注意を表示します |
| Base64URL | - _ を + / に戻し、= を補ってから復号し、UTF-8 の JSON として解釈します |
| exp / iat / nbf | UNIX 時間(秒)として日時に変換します。ミリ秒の値(13 桁)はそのまま秒として扱うため、遠い未来の日付になります |
| 期限の判定 | 現在時刻と比較します。時計のずれの猶予は設けていません |
| 署名の検証 | HS256 のみ。ヘッダー.ペイロード の HMAC-SHA256 を計算して署名と比べます。RS256 や ES256 は公開鍵が必要なため対象外です |
| 秘密鍵 | 入力した文字列を UTF-8 のバイト列として使います。「Base64 で符号化されている」にチェックすると復号したバイト列を鍵にします |
alg ごとの注意
- none: 署名がありません。検証側が alg をトークンの値に従って切り替えると、署名なしのトークンを受け入れてしまう恐れがあります。受け入れるアルゴリズムは固定する実装が推奨されます。
- HS256: 共通鍵方式です。検証側も秘密鍵を持つため、鍵が漏れると誰でも偽造できます。鍵は 32 バイト以上の乱数にします。
- RS256 / ES256: 公開鍵方式です。検証には公開鍵だけが必要で、秘密鍵を配る必要がありません。
注意
- デコードできることと安全であることは別です。ペイロードは暗号化されておらず、誰でも読めて書き換えられます。信頼できるのは署名を検証した後だけです。
- 有効なトークンは、持ち主として振る舞える鍵と同じです。本ツールは送信しませんが、他のサイトやチャット、課題管理ツールに貼ると第三者に使われる恐れがあります。確認後は可能なら無効化(再ログインや再発行)してください。
よくある質問
デコードできるのに「署名を検証していません」と出ます。安全なトークンですか?
デコード(中身を読むこと)と検証(改ざんされていないことの確認)は別です。JWT のヘッダーとペイロードは Base64URL で符号化されているだけで、誰でも読めて、誰でも書き換えられます。書き換えを検出するのが署名で、検証には鍵が必要です。本ツールは HS256 のみ、秘密鍵を入力した場合に検証します。
HS256 と RS256 はどう違いますか?
HS256 は共通鍵方式で、署名の作成と検証に同じ秘密鍵を使います。検証する側も秘密鍵を持つため、鍵が漏れると誰でも正しいトークンを作れます。RS256(および ES256 など)は公開鍵方式で、署名は秘密鍵、検証は公開鍵で行います。検証側に秘密鍵を渡す必要がなく、複数のサービスで検証する場合に向いています。
alg が none のトークンは?
署名が無いトークンです。検証側が alg をトークンの値に従って切り替える実装だと、署名無しのトークンを受け入れてしまう脆弱性(alg none 攻撃)につながります。検証側は受け入れるアルゴリズムを固定し、none は拒否する実装が推奨されます。
本物のトークンを貼っても大丈夫ですか?
本ツールはトークンをサーバーへ送らず、ブラウザ内だけで処理します。ただし、一般論として有効なトークンは「そのトークンの持ち主として振る舞える鍵」です。信頼できないサイトやチャット、課題管理ツールなどに貼ると、第三者がそのまま使える恐れがあります。確認が終わったら、可能であれば無効化(ログアウトや再発行)してください。