JWT デコーダー — JSON Web トークンをオンラインでデコードする

エンコードされた JWT（eyJ… で始まる長い文字列）を入力ボックスに貼り付けます。ツールはそれを2つのドットで分割し、ヘッダーとペイロードを Base64URL でデコードして、それぞれの JSON と生の署名部分を表示します。これらはすべて、ネットワークリクエストを一切行わずに実行されます。

Only if you give it the key. Decoding the header and payload needs no key, but the Verify signature field accepts an HMAC secret (HS256, HS384, HS512) or an RSA or EC public key as PEM or JWK, and reports whether the signature is valid; the check runs in your browser. Tokens signed with none or an unsupported algorithm are never reported as valid. Use a server-side JWT library for production verification; this tool is for inspection and debugging.

You get the header (algorithm and key id), the payload claims (sub, iss, aud, iat, exp and any custom claims) and the raw signature. The exp claim gets an expiry banner so you can spot stale tokens at a glance; iat and nbf are shown as the raw numbers.

ペイロードに標準の「exp」クレームが含まれている場合、ツールはそれを現在時刻と比較し、正確なタイムスタンプとともに「有効期限」または「トークン失効日時」のいずれかを表示します。expクレームのないトークンは、有効期限なしとして報告されます。

JWTのペイロードを読める人は、有効期限が切れるまでそれを利用できます。そのため、本番用トークンはプライベートなツールでのみ扱うべきです。このデコーダーは完全にブラウザ内で動作し、トークンを一切送信しませんが、可能な限り有効期限の短い開発用トークンをデコードするのが安全なルールです。

JWTはドットで区切られた3つのBase64URLエンコードされたセグメントから成ります。ヘッダー（署名アルゴリズム）、ペイロード（発行者が検証者に信頼してほしいクレーム）、署名（header.payloadに対するMACまたはデジタル署名）です。デコードには鍵は不要で、必要になるのは検証時だけです。

JWTは、ヘッダー・ペイロード・署名という3つのBase64URLセグメントで構成される、コンパクトでURLに安全なトークンです。ユーザーIDや有効期限といった署名付きのクレームを含み、ステートレスなログインセッションやAPIリクエストの保護に広く使われています。上の欄に貼り付けると、ヘッダーとペイロードを確認できます。

デコードされたヘッダーとペイロードの下にある「署名を検証」ボックスに、（HS256 の場合は）署名用の秘密鍵、または（RS256、ES256 などの場合は）発行者の公開鍵を PEM か JWK 形式で貼り付け、「検証」をクリックします。表示されるバッジは、署名が有効か、無効か、あるいはブラウザ側の検証ツールが対応していないアルゴリズムを使っているかを示します — すべてローカルで計算され、トークンや鍵をどこにも送信しません。

HS256 のような HMAC アルゴリズムでは、共有シークレットの生文字列を貼り付けます。RS256、RS384、ES256 のような非対称アルゴリズムでは、発行者の公開鍵が必要で（決して秘密鍵ではありません）、PEM ブロックまたは JWK として指定します。非対称鍵ペアの誤った側を貼り付けると、トークンが有効であっても検証が失敗します。

「署名を検証」パネルは、主要なJOSEアルゴリズムをすべてサポートします。HS256/384/512（共有シークレットによるHMAC）、RS256/384/512（RSA公開鍵によるRSASSA-PKCS1-v1_5）、PS256/384/512（RSA公開鍵によるRSA-PSS）、ES256/384/512（対応するP-256/P-384/P-521曲線上のECDSA）です。「none」やこのリスト外のアルゴリズムで署名されたトークンは、有効とマークされることなく常にサポート対象外として報告されるため、古典的なalg=none偽造の手口からも保護されます。

最も多い原因は、シークレットボックスに余分な空白や末尾の改行を貼り付けてしまうことです。検証機能は入力したバイトをそのままハッシュ化するため、コピー＆ペーストによる余計な文字が一致を崩します。また、現在のトークンを検証しているか再確認してください。コピーした後にJWTが再発行されていたり、プロバイダーのシークレットが生の文字列ではなくbase64エンコードされていたりする場合は、貼り付ける前にまずデコードしてください。

「Try sample JWT」をクリックすると、sub、name、iat、exp クレームを含むデモの HS256 トークンが読み込まれ、自分のトークンを貼り付ける前にデコードと有効期限チェックの動作を確認できます。トークンがボックスに入ると、その隣に「Clear」ボタンが表示され、ワンクリックで入力を空に戻せます。

ヘッダー、ペイロード、署名の各パネルには右上にコピーボタンがあり、そのセクションの JSON（または署名の生文字列）だけをクリップボードにコピーします。また、パネルの下にはメインの「ペイロードをコピー」ボタンがあり、デバッガーやバグレポートに貼り付けるためにクレームだけを取得する、最もよくあるケースに対応します。

Authorizationヘッダーにある「Bearer 」以降の値 — 「eyJ…」の部分がJWT本体です — をコピーしてデコーダーに貼り付ければ、ヘッダー、ペイロードのクレーム、有効期限の状態がすぐに確認できます。「Bearer eyJ…」という文字列をまるごとコピーした場合は、トークンがドット区切りでちょうど3つの部分になるよう、先に「Bearer 」の接頭辞を取り除いてください。

いいえ — これはJWTエディタではなく、デコーダー兼ビューアーです。ペイロードを変更すると署名が無効になるため、トークンを検証するサーバーは改ざんされたバージョンを拒否します。クレームを変更するには、正しいシークレットまたは秘密鍵で署名された新しいトークンを発行する必要があります。このデコーダーはトークンの読み取りとデバッグ用にお使いください。変更用ではありません。

いいえ — JWT Decoder は完全にブラウザ内で実行されるため、貼り付けた内容が使用しているマシンから離れることはありません。トークン、キー、または顧客データを含むものをチェックする場合、これは重要です。タブを閉じるだけでクリアできます。

エラーは、解析できなかった最初の位置を指します。これは通常、実際の間違いではなく、その直後です。コンマの欠落、閉じられていない引用符または括弧、または直接の引用符ではなく文書から貼り付けられたスマート引用符などです。まず、報告された位置の上の行を確認してください。

JWT Decoder shows its result on the page. Standard use does not require signup; this workflow does not offer a file download. Published processing allowances and file limits still apply.

いいえ。JWT デコーダー はデスクトップとスマートフォンのブラウザで使えます。インストール、トライアル開始、ライセンス購入は不要です。必要な機能かどうかは、サンプルではなく実際に困っているファイルでお試しください。