JWTデコーダー - オンラインでJSON Web Tokenをデコードし有効期限を確認

エンコードされた JWT（eyJ… で始まる長い文字列）を入力ボックスに貼り付けます。ツールはそれを2つのドットで分割し、ヘッダーとペイロードを Base64URL でデコードして、それぞれの JSON と生の署名部分を表示します。これらはすべて、ネットワークリクエストを一切行わずに実行されます。

いいえ。デコーダーはトークンを解析するだけで、署名を秘密鍵や公開鍵と照合して検証することはありません。検証には発行者の鍵情報が必要だからです。本番環境での検証にはサーバーサイドのJWTライブラリを使用してください。このツールは確認とデバッグのためのものです。

ヘッダー（アルゴリズムとキーID）、ペイロードのクレーム（sub、iss、aud、iat、exp、および任意のカスタムクレーム）、そして生の署名が得られます。標準的なタイムスタンプのクレームは人間が読みやすい日付形式で表示されるため、期限切れのトークンをひと目で見分けられます。

ペイロードに標準の「exp」クレームが含まれている場合、ツールはそれを現在時刻と比較し、正確なタイムスタンプとともに「有効期限」または「トークン失効日時」のいずれかを表示します。expクレームのないトークンは、有効期限なしとして報告されます。

JWTのペイロードを読める人は、有効期限が切れるまでそれを利用できます。そのため、本番用トークンはプライベートなツールでのみ扱うべきです。このデコーダーは完全にブラウザ内で動作し、トークンを一切送信しませんが、可能な限り有効期限の短い開発用トークンをデコードするのが安全なルールです。

JWTはドットで区切られた3つのBase64URLエンコードされたセグメントから成ります。ヘッダー（署名アルゴリズム）、ペイロード（発行者が検証者に信頼してほしいクレーム）、署名（header.payloadに対するMACまたはデジタル署名）です。デコードには鍵は不要で、必要になるのは検証時だけです。