See inside any JWT — header, payload and expiry

エンコードされた JWT（eyJ… で始まる長い文字列）を入力ボックスに貼り付けます。ツールはそれを2つのドットで分割し、ヘッダーとペイロードを Base64URL でデコードして、それぞれの JSON と生の署名部分を表示します。これらはすべて、ネットワークリクエストを一切行わずに実行されます。

いいえ。デコーダーはトークンを解析するだけで、署名を秘密鍵や公開鍵と照合して検証することはありません。検証には発行者の鍵情報が必要だからです。本番環境での検証にはサーバーサイドのJWTライブラリを使用してください。このツールは確認とデバッグのためのものです。

ヘッダー（アルゴリズムとキーID）、ペイロードのクレーム（sub、iss、aud、iat、exp、および任意のカスタムクレーム）、そして生の署名が得られます。標準的なタイムスタンプのクレームは人間が読みやすい日付形式で表示されるため、期限切れのトークンをひと目で見分けられます。

ペイロードに標準の「exp」クレームが含まれている場合、ツールはそれを現在時刻と比較し、正確なタイムスタンプとともに「有効期限」または「トークン失効日時」のいずれかを表示します。expクレームのないトークンは、有効期限なしとして報告されます。

JWTのペイロードを読める人は、有効期限が切れるまでそれを利用できます。そのため、本番用トークンはプライベートなツールでのみ扱うべきです。このデコーダーは完全にブラウザ内で動作し、トークンを一切送信しませんが、可能な限り有効期限の短い開発用トークンをデコードするのが安全なルールです。

JWTはドットで区切られた3つのBase64URLエンコードされたセグメントから成ります。ヘッダー（署名アルゴリズム）、ペイロード（発行者が検証者に信頼してほしいクレーム）、署名（header.payloadに対するMACまたはデジタル署名）です。デコードには鍵は不要で、必要になるのは検証時だけです。

JWTは、ヘッダー・ペイロード・署名という3つのBase64URLセグメントで構成される、コンパクトでURLに安全なトークンです。ユーザーIDや有効期限といった署名付きのクレームを含み、ステートレスなログインセッションやAPIリクエストの保護に広く使われています。上の欄に貼り付けると、ヘッダーとペイロードを確認できます。

デコードされたヘッダーとペイロードの下にある「署名を検証」ボックスに、（HS256 の場合は）署名用の秘密鍵、または（RS256、ES256 などの場合は）発行者の公開鍵を PEM か JWK 形式で貼り付け、「検証」をクリックします。表示されるバッジは、署名が有効か、無効か、あるいはブラウザ側の検証ツールが対応していないアルゴリズムを使っているかを示します — すべてローカルで計算され、トークンや鍵をどこにも送信しません。

HS256 のような HMAC アルゴリズムでは、共有シークレットの生文字列を貼り付けます。RS256、RS384、ES256 のような非対称アルゴリズムでは、発行者の公開鍵が必要で（決して秘密鍵ではありません）、PEM ブロックまたは JWK として指定します。非対称鍵ペアの誤った側を貼り付けると、トークンが有効であっても検証が失敗します。

「署名を検証」パネルは、主要なJOSEアルゴリズムをすべてサポートします。HS256/384/512（共有シークレットによるHMAC）、RS256/384/512（RSA公開鍵によるRSASSA-PKCS1-v1_5）、PS256/384/512（RSA公開鍵によるRSA-PSS）、ES256/384/512（対応するP-256/P-384/P-521曲線上のECDSA）です。「none」やこのリスト外のアルゴリズムで署名されたトークンは、有効とマークされることなく常にサポート対象外として報告されるため、古典的なalg=none偽造の手口からも保護されます。

最も多い原因は、シークレットボックスに余分な空白や末尾の改行を貼り付けてしまうことです。検証機能は入力したバイトをそのままハッシュ化するため、コピー＆ペーストによる余計な文字が一致を崩します。また、現在のトークンを検証しているか再確認してください。コピーした後にJWTが再発行されていたり、プロバイダーのシークレットが生の文字列ではなくbase64エンコードされていたりする場合は、貼り付ける前にまずデコードしてください。

「Try sample JWT」をクリックすると、sub、name、iat、exp クレームを含むデモの HS256 トークンが読み込まれ、自分のトークンを貼り付ける前にデコードと有効期限チェックの動作を確認できます。トークンがボックスに入ると、その隣に「Clear」ボタンが表示され、ワンクリックで入力を空に戻せます。

ヘッダー、ペイロード、署名の各パネルには右上にコピーボタンがあり、そのセクションの JSON（または署名の生文字列）だけをクリップボードにコピーします。また、パネルの下にはメインの「ペイロードをコピー」ボタンがあり、デバッガーやバグレポートに貼り付けるためにクレームだけを取得する、最もよくあるケースに対応します。

Authorizationヘッダーにある「Bearer 」以降の値 — 「eyJ…」の部分がJWT本体です — をコピーしてデコーダーに貼り付ければ、ヘッダー、ペイロードのクレーム、有効期限の状態がすぐに確認できます。「Bearer eyJ…」という文字列をまるごとコピーした場合は、トークンがドット区切りでちょうど3つの部分になるよう、先に「Bearer 」の接頭辞を取り除いてください。

いいえ — これはJWTエディタではなく、デコーダー兼ビューアーです。ペイロードを変更すると署名が無効になるため、トークンを検証するサーバーは改ざんされたバージョンを拒否します。クレームを変更するには、正しいシークレットまたは秘密鍵で署名された新しいトークンを発行する必要があります。このデコーダーはトークンの読み取りとデバッグ用にお使いください。変更用ではありません。