JWTデコーダー

このJWTデコーダーでトークンのヘッダー、ペイロード、exp/iat/nbfクレームを確認。

トークンはブラウザ内でローカルにデコードされ、アップロードは行われませんが、実際の本番トークンや機密情報をオンラインツールに貼り付けることは避けてください。

開発・運営：Udit Agarwal

JSON Web Tokens (JWT), Explained

トークンの作成と署名が必要ですか？JWT Signerをお試しください。

JWT デコーダー について

このJWTデコーダーは、任意のJSON Web Tokenをヘッダー、ペイロード、署名のセグメントに分割し、読みやすい整形済みJSONとして表示します。トークンを貼り付けると（「Bearer 」プレフィックス付きでもなしでも）base64urlセグメントを即座にデコードし、標準的な時刻クレーム（exp、iat、nbf）を人間が読めるUTC日時として表示。トークンが期限切れ、有効、まだ無効のいずれかを示すバッジも付きます。認証ヘッダーのデバッグ、トークン内容の確認、有効期限のチェックをサーバー側ライブラリなしで行いたいバックエンド開発者、APIエンジニア、QAテスター向けに作られています。ローカルデバッグ中の手軽なJWTパーサーやトークンデコーダーとしてご利用ください。デコードはブラウザ内でローカルに行われるため、貼り付けたトークンが端末から外に出ることはなく、サーバーへのアップロードもありません。

機能

• JWTのヘッダーとペイロードを整形済み・構文ハイライト付きJSONにデコード
• exp、iat、nbfクレームを解析し、読みやすいUTCタイムスタンプとして表示
• トークンを期限切れ、有効、アクティブ、まだ無効として色付きバッジで表示
• 先頭にBearerプレフィックスが付いたトークンもそのまま受け付け
• 生の署名セグメントを個別に表示して確認可能
• デコードはトークンの署名や真正性を検証しないことを明確に警告
• デコードしたヘッダーとペイロードJSONのコピーボタン、およびクリア操作

JWT デコーダー の使い方

1. JSON Web Token入力欄にJWTを貼り付けます。
2. 整形済みJSONとして表示されるヘッダーとペイロードを確認します。
3. クレームセクションで発行日時、有効開始前、有効期限の日付とステータスバッジを確認します。
4. コピーボタンでヘッダーまたはペイロードのJSONを取得するか、クリアで最初からやり直します。

例

入力

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0IiwibmFtZSI6IkphbmUiLCJpYXQiOjE1MTYyMzkwMjJ9.signature

出力

Header:
{
  "alg": "HS256",
  "typ": "JWT"
}

Payload:
{
  "sub": "1234",
  "name": "Jane",
  "iat": 1516239022
}

デコーダーはトークンを分割し、ヘッダーとペイロードをJSONとして表示します。iatは読みやすい日付で表示されます。

よくあるエラーとトラブルシューティング

• トークンにはドットで区切られたセグメントが少なくとも2つ必要というエラーが表示される。 — JWTはheader.payload.signatureの形式でなければなりません。トークン全体をコピーし、ドットが削られていないか確認してください。
• あるセグメントが有効なbase64urlまたは有効なJSONではないとデコーダーが報告する。 — 転送中に文字が欠落したりURLエンコードされたりしていないか、また周囲のオブジェクトや引用符ではなくトークン自体を貼り付けたか確認してください。
• 検証を期待していたが、署名はチェックされないとツールが表示する。 — これはデコーダーであり、検証ツールではありません。トークンの内容を読むだけです。真正性の確認には署名または検証ライブラリを使用してください。
• 最近のはずのトークンが期限切れと表示される。 — expクレームはUTC秒で、現在時刻と比較されます。表示されたUTC日時をローカルの時計とタイムゾーンと照らし合わせてください。

よくある質問

JWTデコーダーとは何で、何を表示しますか？

JWTデコーダーはJSON Web Tokenを読み取り、その内容を表示します。このデコーダーはヘッダーとペイロード全体を整形表示し、標準的な時刻クレームexp、iat、nbfを読みやすいUTC日時とステータスバッジでハイライトします。

Bearerプレフィックス付きのJWTはどうデコードしますか？

Authorizationヘッダーの値全体をそのまま貼り付けるだけです。JWTデコーダーはデコード前に先頭の「Bearer 」プレフィックスを自動的に取り除くため、事前にトリミングする必要はありません。

JWTデコーダーはトークンの署名を検証しますか？

いいえ。ヘッダー、ペイロード、クレームのデコードと表示のみを行います。署名は検証しないため、デコードだけではトークンが本物であることは証明できません。

なぜ私のトークンがJWTデコーダーでまだ無効と表示されるのですか？

まだ未来の時刻を持つnbf（not before）クレームがあるため、トークンはまだアクティブではありません。その時刻を過ぎるとバッジが更新されます。

JWTデコーダーを使うとき、トークンはどこかに送信されますか？

いいえ。JWTデコーダーは完全にブラウザ内で動作し、貼り付けたトークンが端末から外に出ることはなく、サーバーへのアップロードもありません。

関連ツール

• JWT 署名ツール — ペイロードとシークレットからJWT（HS256/384/512）を作成・署名します — Web Crypto。
• Base64 エンコード / デコード — UTF-8に対応した安全なBase64のエンコードとデコード。
• ハッシュジェネレーター — Web Crypto API による SHA-256 / SHA-1 / SHA-384 / SHA-512。
• TOTP / 2FA ジェネレーター — base32シークレットから時間ベースのワンタイムパスワード（2FAコード）を生成します。
• パスワードジェネレーター — 強度メーター付きで、強力でランダムなパスワードを生成します（暗号学的に安全）。
• Unix タイムスタンプ変換 — Unixタイムスタンプと読みやすい日付（ローカルおよびUTC）を相互変換します。
• URL パーサー — URLを各パーツに分解し、クエリパラメータを一覧表示します。
• JSON フォーマッター — JSONの整形・圧縮・検証を行い、エラー箇所も表示します。

セキュリティの他のツール

• ハッシュジェネレーター — Web Crypto API による SHA-256 / SHA-1 / SHA-384 / SHA-512。
• パスワードジェネレーター — 強度メーター付きで、強力でランダムなパスワードを生成します（暗号学的に安全）。
• SSH 鍵ジェネレーター — Ed25519、RSA、ECDSA のSSH鍵ペアをブラウザ内で生成しダウンロードします。
• PPK ↔ PEM 変換 — SSH 秘密鍵を PuTTY .ppk と OpenSSH/PEM（RSA・Ed25519）の間でブラウザ内でローカルに変換します。
• TOTP / 2FA ジェネレーター — base32シークレットから時間ベースのワンタイムパスワード（2FAコード）を生成します。
• JWT 署名ツール — ペイロードとシークレットからJWT（HS256/384/512）を作成・署名します — Web Crypto。
• Basic 認証ジェネレーター — ユーザー名とパスワードから HTTP Basic 認証の Authorization ヘッダーを生成・デコードします。
• 証明書と秘密鍵の照合ツール — 証明書または CSR と秘密鍵が同じペアかを、ローカルで照合します。
• PFX を PEM に変換 — .pfx/.p12（PKCS#12）を、証明書・チェーン・秘密鍵の PEM に分割します。
• bcrypt ジェネレーターと検証 — パスワードを bcrypt でハッシュ化し、既存のハッシュに対して検証できます。
• HMAC ジェネレーター — メッセージとシークレットキーから、SHA-256 などで HMAC 署名を生成できます。
• パスワード強度チェッカー — パスワードの強さ、エントロピー、推定解読時間、弱点を診断できます。

セキュリティのツールをすべて見る (27) · すべてのツール