JWTデコーダー
JWT のヘッダーとペイロードをデコードし有効期限を確認 — 完全オフライン
ローカル実行
loading…
このツールについて
JSON Web Token は、ドットでつながれた 3 つの Base64URL セグメント — ヘッダー、ペイロード、署名 — です。このデコーダーはトークンを分割してヘッダーとペイロードを整形済み JSON として表示し、登録済みの時刻クレーム(iat、exp、nbf)を人間が読める日付として注記し、トークンが期限切れかどうかをひと目で伝えます。
デコードは検証ではありません。Base64URL は暗号化ではなくエンコーディングなので、JWT のペイロードはそれを手にした誰もが読めます。だからこそ、トークンを適当なウェブサイトに貼り付けるのは普通は悪手なのです — このページは例外です。デコードは完全にブラウザー内で行われ、トークンが送信されることはないからです。シークレットや公開鍵に対する署名検証は、このオフラインデコーダーの範囲外として意図的に外してあります。
先頭の「Bearer 」プレフィックスは自動的に取り除かれるので、Authorization ヘッダーからそのまま貼り付けられます。
よくある質問
- 本番環境のトークンをここに貼り付けても安全ですか?
- トークンはブラウザー内に留まります — このページは入力を使ったネットワークリクエストを一切行わず、開発者ツールのネットワークタブで確認できます。それでも、有効なトークンはパスワードと同様に扱う習慣を持ちましょう。スクリーンショットを共有するときは、期限切れかテスト用のトークンを優先してください。
- なぜトークンのデコードに失敗するのですか?
- ドット区切りのセグメントがちょうど 3 つあるか、コピー時の折り返しによる改行が入っていないかを確認してください。不透明なアクセストークン(GitHub や Google の多くのトークンなど)はそもそも JWT ではありません — JSON を一度も含んでいなかった文字列は、どうデコードしても開けません。
- iat、exp、nbf は何を意味しますか?
- RFC 7519 の登録済みクレームで、いずれも Unix 秒です。iat はトークンの発行時刻、exp は有効期限が切れる時刻、nbf(not before)は受け入れられ得る最も早い時刻です。このツールはそれぞれを読みやすい日付に変換し、exp をあなたの時計と比較します。
- このツールで署名を検証できますか?
- いいえ — そもそもオンラインツールの緑のチェックマークをセキュリティ判断の根拠にすべきではありません。署名の検証はバックエンドで、メンテナンスされているライブラリ(jose、jsonwebtoken、PyJWT)を使い、発行者の実際の鍵に対して行ってください。