JWT

JSON Web Tokenをヘッダー、ペイロード、署名の3つの部分に分割し、デコードしたヘッダーとペイロードを読みやすいJSONとして表示する無料のオンラインJWTデコーダー兼ビューアーです。APIのデバッグ中にベアラートークン内のクレームを確認したり、トークンが宣言している署名アルゴリズムとキーIDを確認したり、トークンの有効期限を確認したりするのに使用できます。デコードは完全にブラウザ内で行われるため、トークンがサーバーへ送信されることはありません。これはサーバー側でデコードするサービスとの重要な違いです。なお、このツールはトークンを確認のために読み取るものであり、署名の検証は行いません。署名の検証には署名シークレットまたは公開鍵が必要です。

主な用途

• APIのデバッグ中に、ベアラートークン内のクレーム(sub、exp、iat)を確認します。
• トークンがヘッダーで宣言しているアルゴリズム(alg)とキーID(kid)を確認します。
• 自分の管理下にないオンラインサービスに貼り付けることなく、トークンの有効期限を確認します。
• 認証プロバイダーが返したトークンのペイロードを読み、付与されたスコープを確認します。
• 2つのトークンを比較し、リクエスト間でどのクレームが変わったかを見つけます。

よくある質問

これはJWTの署名を検証しますか?

いいえ。このツールは確認のためにヘッダーとペイロードをデコードするもので、署名の検証は行いません。署名の検証には署名シークレットまたは公開鍵が必要です。

実際のトークンをここに貼り付けても安全ですか?

デコードは完全にブラウザ内で実行され、トークンが送信されることはありません。それでも、本番用のトークンは慎重に扱い、デコード結果を共有しないようにしてください。

JWTの3つの部分とは何ですか?

JWTはヘッダー(アルゴリズムとトークンの種類)、ペイロード(クレーム)、署名から成り、ドットで結合されています。このツールはヘッダーとペイロードをbase64urlデコードし、JSONとして表示します。

署名は表示されるのにデコードされないのはなぜですか?

署名はエンコードされたデータではなく暗号学的な値であるため、人間が読める形式を持ちません。署名はトークンの検証に使われ、その検証には署名鍵が必要です。

トークンが期限切れかどうかわかりますか?

はい。デコードされたペイロードには exp(有効期限)と iat(発行時刻)のクレームがタイムスタンプとして表示されるため、トークンがまだ有効かどうかを確認できます。