3つのセグメントで構成されるコンパクトな JWT に対応しています。Authorization: Bearer プレフィックス付きでコピーしたトークンもそのまま貼り付けられます。構造と UTF-8 の JSON を解析し、現在の有効状態を表示します。トークンがブラウザの外へ送信されることはありません。
無料 JWT デコーダー
すべてブラウザー内で動作します。アップロードも登録も不要です。
トークンを貼り付けてデコードヘッダー、ペイロード、タイムスタンプ、署名セグメントがここに表示されます。
JWT デコーダーでは何ができますか？
JWT デコーダーは、JSON Web Token の Base64URL ヘッダーとペイロードを読みやすい JSON に変換します。トークンを貼り付けると、アルゴリズム、クレーム、exp、nbf、iat などの NumericDate タイムスタンプを確認できます。処理はブラウザ内で完結しますが、署名やトークンの真正性は検証しません。
使い方
- 1JWT を貼り付ける. コンパクトなトークンまたは Bearer 値を入力欄に貼り付けます。結果はすぐに更新されます。
- 2ヘッダーとペイロードを読む. 整形された JSON、登録済みクレーム、読みやすい UTC タイムスタンプを確認します。
- 3警告を確認する. 時間ステータスとセキュリティ上の注意をデバッグの手掛かりにし、アプリケーション側で署名を検証します。
- 4必要なデータをコピーする. デコード済みのヘッダー、ペイロード、署名セグメントをローカルでのデバッグや資料作成にコピーできます。
こんな方に
- API 開発者が、発行者、対象者、サブジェクト、独自クレームを確認して認証エラーを調べるとき。
- フロントエンドチームが、更新処理やサインイン処理のデバッグ中に access token の有効期限を確認するとき。
- セキュリティ担当者が、本格的な検証の前に未署名トークン、想定外のアルゴリズム、不正な NumericDate クレームを見つけるとき。
- サポート担当者が、ローカルのテスト環境で伏せ字にしたトークンを専用スクリプトなしで読むとき。
よくある質問
JWT デコーダーは無料ですか？
はい。アカウント登録も利用回数の制限もなく、無料で使えます。ブラウザ内で処理するため、パッケージを追加したり、デコード用 API にトークンを送ったりせずに開発用トークンを確認できます。
JWT はサーバーにアップロードされますか？
いいえ。ヘッダーとペイロードはブラウザの JavaScript でデコードされ、処理のために送信されることはありません。ただし、本番用の access token をスクリーンショット、チケット、メッセージで共有しないでください。有効な bearer token を入手した第三者が利用できる場合があります。
どのくらい大きな JWT をデコードできますか？
文字数に独自の上限は設けていませんが、ブラウザ、プロキシ、アプリケーションサーバーにはヘッダーサイズの実用上の制限があります。大きすぎるトークンはアプリケーションに届く前に失敗します。本番のクレームは小さく保ち、大量のプロフィール情報や権限データを埋め込まないでください。
JWT をデコードすると署名も検証されますか？
いいえ。デコードで分かるのは、エンコードされた JSON の内容だけです。署名検証には正しい鍵、許可されたアルゴリズム、発行者や対象者などのクレーム確認が必要です。受信側のシステムが検証を終えるまで、デコードしたトークンを本物と判断しないでください。
JWT の有効期限を確認するには？
exp クレームを Unix エポックからの秒数で表す NumericDate として読みます。その時刻以降はトークンを受け付けてはいけません。このデコーダーは exp を UTC に変換してブラウザの現在時刻と比較しますが、最終的な判断にはサーバー時刻を使ってください。
JWT のペイロードは誰でもデコードできますか？
標準的な署名付き JWT なら、トークンを持つ人は通常ヘッダーとペイロードを読めます。Base64URL は内容を隠さないためです。クレームにパスワード、秘密情報、不要な個人情報を入れないでください。暗号化された JWE は5つのセグメントを持ち、このデコーダーの対象外です。
タイムスタンプが無効という警告が出るのはなぜですか？
RFC 7519 では、exp、nbf、iat を 1970-01-01T00:00:00Z からの秒数を示す JSON 数値の NumericDate と定義しています。文字列、不正な数値、ミリ秒単位の値は誤った日時になり、厳格な JWT ライブラリでは拒否されることがあります。