JWTデコーダー

ブラウザで任意のJSON Web Tokenをデコードする

このJWTデコーダーは、不透明なeyJ…文字列を即座に読みやすいJSONに変換します。JSON Web Tokenを貼り付けると、ドットで分割し、ヘッダーとペイロードをBase64URLデコードして、両方を並べて整形表示します — 生の署名は別途表示されます。認証フローのデバッグ、APIレスポンスからのトークン検査、バックエンドが発行しているクレームの確認に最適な方法です。

トークンの各部分はカラーコード表示 — ヘッダー、ペイロード、署名 — により、header.payload.signatureの3つのセクションが一目でわかります。アカウント不要、サーバーへのアップロードなし、デコード回数の上限なし。

クレームを読み、有効期限を一目で確認

デコーダーはRFC 7519で定義された標準登録クレーム — iss、sub、aud、exp、nbf、iat、jti — をわかりやすい表に表示し、それぞれの意味をわかりやすい言葉で説明します。3つの時刻クレームはUnixエポック秒で表されており、誤読しやすいため、ツールがローカルの日時に変換し、「5分前に発行」や「59分後に期限切れ」といった相対的なヒントを追加します。

最も重要なのは、JWTデバッガーを開いてよく尋ねる質問に答えてくれることです：このトークンはまだ有効か？ expクレームを現在時刻と比較し、nbfも考慮してトークンを自動的に有効または期限切れとマークします。

署名を検証する — HS256、RS256、ES256

デコードはトークンが何を主張しているかを示し、検証はそれを信頼できることを証明します。このツールはJWT署名検証ツールでもあります：ヘッダーからアルゴリズムを読み取り、ブラウザのWeb Crypto APIを使用してローカルで署名を検証します。HS256、HS384、HS512の場合は共有HMACシークレットを、RS256、PS256、ES256（および384/512バリアント）の場合は発行者のPEM形式の公開鍵を貼り付けます。

計算はデバイス上で実行されるため、トークン、シークレット、鍵をサーバーに送信することなく、トークンが本物であること（ペイロードが改ざんされていないこと）を確認できます。緑のチェックマークは署名が一致することを意味し、赤のバツ印はトークンが変更されたか、間違った鍵を使用していることを意味します。

JWTの作成とエンコードも可能

逆方向も必要ですか？組み込みのJWTエンコーダーを使用すると、ゼロからトークンを作成できます。ヘッダーとペイロードをJSONとして編集し、HMACアルゴリズムを選択し、シークレットを入力すると、正しく署名されたheader.payload.signatureトークンが生成され、リクエストやテストにそのままコピーできます。便利なショートカットボタンで最新のiatとexpクレームを追加し、テストトークンにリアルなタイムスタンプを設定できます。

これによりUtiloKitはJWTデコーダーとエンコーダーを兼ね備えたツールになっています — APIから返ってくるトークンを検査し、送信用の新しいトークンを作成する、すべて同じ場所で。サーバー関与なし、アカウント不要のjwt.ioと同じワークフローです。

jwt.io、token.dev、jwtdecode.comとの比較

jwt.ioはウェブで最も有名なJWTツールです — Auth0が構築し、ドキュメントで広くリンクされ、何百万人もの開発者に信頼されています。主な制限はプライバシーです：jwt.ioは一部の設定でトークンをAuth0のサーバーに送信します。

token.devとjwtdecode.comは基本的なデコードをカバーしていますが、PEM鍵を使ったRS256/ES256署名検証をサポートしていません — これはAuth0、Google、Microsoft Azure AD、Okta、ほとんどのエンタープライズOIDCプロバイダーが使用するアルゴリズムです。

このUtiloKitデコーダーはブラウザですべてを処理します：デコード、有効期限チェック、HS/RS/PS/ESアルゴリズムファミリー全体の完全な署名検証 — 無料、アカウント不要、上限なし、デバイスからデータが出ることなし。

JWTセキュリティ：トークンが保護できるものとできないもの

JWTは完全性のために署名されていますが、機密性のために暗号化されているわけではありません。トークンを持っている人は誰でもペイロードのすべてのクレームを読むことができます — Base64URLエンコーディングは簡単に逆変換できます（このデコーダーが示すとおり）。そのため、ペイロードには非機密の識別子のみを含めてください：ユーザーID、ロール、メールアドレスなど。パスワード、支払い情報、APIキーをJWTペイロードに入れないでください。

署名は改ざんに対して保護します：攻撃者がペイロードの1文字でも変更すると、署名は一致しなくなり、正しい鍵で検証するサーバーはトークンを拒否します。古典的なalg: none攻撃は、アルゴリズムが使用されていないと主張することでこれを回避します — よく知られた脆弱性（CVE-2015-9235）であり、本番環境のJWTライブラリはブロックすべきです。

expを使用してトークンの有効期限を短く保ち、HTTPSで転送し、メモリまたはhttpOnly Cookie（localStorageではなく）に保存し、すべてのリクエストで署名を検証してください。本番環境にデプロイする前に、この無料ツールでトークンをデコードして検査し、これらのプロパティが正しく設定されていることを確認してください。