JWTデコーダー
JSON Web Tokenを貼り付けて、中身を読み、有効期限が切れていないかを確認し、署名を検証できます。
このデバイス内で封印済み
ブラウザ内で動作します。何もアップロードされません。
封印済み
デコードと検証はこのデバイス上で行われます。トークンがどこかに送信されることはありません。
デコード結果
トークンのヘッダー、ペイロード、日時がここに表示されます。
ヘッダー
ペイロード
登録済みクレーム
署名を検証（任意）
先にトークンをデコードしてください。そのアルゴリズムから、必要な鍵がわかります。
PEM（-----BEGIN PUBLIC KEY-----）またはJSON形式のJWK。信頼できないWebサイトに秘密鍵を貼り付けないでください。
使い方
-
トークンを貼り付け
Authorizationヘッダー、Cookie、ログなどからJWTを貼り付けます。先頭の「Bearer」は無視されます。
-
中身を確認
ヘッダーとペイロードが整形されたJSONで表示され、exp、iat、nbfはお使いのタイムゾーンの日時に変換されます。
-
必要に応じて検証
共有シークレットを入力するか公開鍵を貼り付けて、署名を確認します。トークンがデバイスの外に出ることはありません。
よくある質問
本物のトークンを貼り付けても安全ですか？
トークンはブラウザ内でデコード・検証され、どのサーバーにも送信されません。ただし、トークンは一時的なパスワードのようなものです。共有は避け、ほかの場所で漏れた場合は無効にしてください。
JWTの中身は誰でも読めますか？
はい。一般的な署名付きJWTはBase64urlでエンコードされているだけで暗号化されていないため、手に入れた人なら誰でもペイロードを読めます。署名は、誰も変更していないことを証明するだけです。JWTのペイロードに秘密情報を入れないでください。
トークンの期限が切れていると表示されるのはなぜですか？
expクレームには、1970年1月1日（UTC）からの秒数で有効期限が入っています。デバイスの時計でその時刻を過ぎていれば、トークンは期限切れであり、サーバーは受け付けないはずです。
どの署名を検証できますか？
共有シークレットを使うHMAC（HS256、HS384、HS512）と、PEMまたはJWK形式の公開鍵を使うRSA（RS256–512、PS256–512）と楕円曲線（ES256、ES384、ES512）です。検証には、ブラウザに組み込まれたWeb Cryptoを使います。
iss、sub、audはどういう意味ですか？
いずれも標準のクレームです。issはトークンの発行者、subはトークンが対象とする主体（多くはユーザーID）、audはトークンの受け手を表します。ペイロードのそのほかの項目は、トークンを作成したアプリケーション固有のものです。