JWTデコード・解析

使い方

このツールについて

JWT（JSON Web Token）のヘッダー・ペイロード・署名を Base64 デコードし、クレームを整形表示します。署名検証は行いません。

使い方

JWT 文字列をテキスト欄に貼り付けるか、ファイルから読み込みます。自動でデコードされ、ヘッダー・ペイロード・クレーム分類・検証結果が表示されます。

オプション

ユースケース

• OAuth2 / OIDC の id_token の中身確認 • デバッグ時のクレーム確認 • 有効期限（exp）のチェック • カスタムクレームの参照

コード例

1// ヘッダー・ペイロードを Base64URL デコード
2const [headerB64, payloadB64] = jwt.split('.');
3const payload = JSON.parse(
4  atob(payloadB64.replace(/-/g, '+').replace(/_/g, '/'))
5);

1import jwt  # PyJWT
2
3decoded = jwt.decode(
4  token,
5  options={"verify_signature": False}
6)

1use Firebase\JWT\JWT;
2
3$decoded = JWT::decode($token, $keys, ['RS256']);
4// 署名検証なし: 自前で Base64URL デコード

技術的な仕組み

JWT は xxx.yyy.zzz の 3 部分をドットで区切り、それぞれ Base64URL デコードして JSON として表示します。署名の検証は秘密鍵が必要なため行っていません。

プライバシーとデータの扱い

デコードはブラウザ内で完結し、JWT をサーバーへ送信しません。トークンはメモリ上で扱い、保存しません。

よくある質問

Q: JWT とは何ですか？

A: JWT（JSON Web Token）は、ヘッダー・ペイロード・署名の3部分からなる Base64URL エンコードされたコンパクトなトークン形式です。OAuth2、OIDCなどの認証やサービス間の情報交換に広く使われています。

Q: このツールはJWTの署名を検証しますか？

A: いいえ。このツールはヘッダーとペイロードのデコードのみを行います。署名の検証には秘密鍵または公開鍵が必要であり、このツールではサポートしていません。署名検証にはアプリケーションのJWTライブラリを使用してください。

Q: どのようなクレームを確認できますか？

A: 標準クレーム（iss, sub, aud, exp, nbf, iat, jti）およびペイロード内のカスタムクレームをすべて確認できます。また、expクレームに基づいてトークンの有効期限切れも表示されます。

Q: JWTはサーバーに送信されますか？

A: いいえ。デコードはブラウザ内で完結します。JWTがサーバーに送信されることは一切なく、ブラウザのメモリ内のみで処理されます。

Q: JWTが期限切れと表示されるのはなぜですか？

A: expクレームには有効期限のUnixタイムスタンプが含まれています。現在時刻がそのタイムスタンプを過ぎている場合、トークンは期限切れと判定されます。この判定はブラウザ内でローカルに行われます。