無料のJWTデコーダー＆デバッガー

JWTデコーダーは、トークンを3つの部分（ヘッダー、ペイロード、署名）に分割し、 ヘッダーとペイロードをBase64URLデコードします。これにより、使用されているアルゴリズム、サブジェクト、 有効期限など、内部の実際のクレームやメタデータを読むことができるようになります。

いいえ。デコードは単にトークンの可読なコンテンツを明らかにするだけであり、 シークレットキーを必要とせず、真正性について何も証明しません。検証（ベリファイ）は、署名を シークレットキーまたは公開鍵と照合し、トークンが本物であり改ざんされていないことを確認する作業です。 JWTは誰でもデコードできますが、正しいキーを持っている人だけが検証できます。

いいえ。JWTのヘッダーとペイロードは単にBase64URLエンコードされているだけで、暗号化されていません。 そのため、キーがなくても誰でもデコードして内容を読むことができます。シークレットキーや公開鍵は 署名を検証するためにのみ必要であり、可読コンテンツをデコードするためには必要ありません。

いいえ。このツールは、JavaScriptとWeb Crypto APIを使用して完全にブラウザ内で動作します。 トークン、シークレットキー、および公開鍵が外部に送信されることは決してありません。ツールを使用中に ブラウザの「ネットワーク(Network)」タブを確認することで、ご自身でこれを確かめることができます。

はい。このデコーダーは、共有シークレットを使用するHMACアルゴリズム （HS256、HS384、HS512）と、PEM形式の公開鍵を使用する公開鍵アルゴリズム（RS256/384/512、 ES256/384/512、PS256/384/512）の署名検証をサポートしています。

JWTには通常、トークンが無効になるタイミングを示すUnixタイムスタンプである exp クレームが含まれています。現在の時刻がそのタイムスタンプを過ぎている場合、 署名自体がまだ有効であっても、トークンは期限切れとみなされ、トークンをチェックするサーバーによって 拒否される必要があります。

"none" アルゴリズムは、そのトークンに署名が一切ないことを主張していることを意味します。 これはよく知られたJWTの脆弱性です — 不適切に設定された一部のライブラリは、何もチェックせずに これらのトークンを有効なものとして受け入れてしまい、攻撃者が任意のクレームを偽造できる状態にしてしまいます。 本番環境のシステムは常に無署名のトークンを拒否する必要があります。