JWT デコーダ

JWT デコーダーは、JSON Web トークンを 3 つのドットで区切ったセグメントに分割し、base64url-はヘッダーとペイロードをデコードし、両方をフォーマットされた JSON としてレンダリングします。 JWT は暗号化されていません。「エンコード」は、可逆変換である Base64URL だけです。トークンを保持している人なら誰でも、その中のすべてのクレームを読み取ることができます。 このツールは、その検査を即座にします: Set-Cookie ヘッダーからトークン、承認ヘッダー (ベアラ プレフィックスは自動的に削除されます)、または認証プロバイダーのダッシュボードからトークンを貼り付け、サーバーに何を入れたかを正確に確認します。

クレームテーブルはデバッグが行われる場所です 登録された時刻クレーム - exp (expiration) 、 iat (issued at) 、 nbf (not before) - はUnixタイムスタンプであり、生で読むのに役に立たないデコーダはそれぞれをUTC日付と相対時刻に変換し、「Expired (3 hours ago)」または「Valid (expires in 14 minutes)」と表示され、期限切れのトークンに赤でフラグを立てます。 「401 Unauthorized, but the token looks fine」のほとんどのインシデントは、期限切れのexp、時計に歪んだnbf、またはAPIが検証したものと一致しないaudクレームに帰着します - すべて2 秒でここに見えます。

このツールが意図的にできないことの 1 つは、署名の確認です。 検証には署名の秘密 (HS256) または公開鍵 (RS256/ES256) が必要であり、HMAC シークレットを貼り付けるように求めるクライアント側のツールは、悪い習慣を教えることになります。 デコードは 100% クライアント側です。トークンはブラウザーを離れることもなく、サーバーにもヒットもせず、要求ログに表示されません。これは、ライブ プロダクション JWT がベアラの資格情報であるため、重要です。 それを持っている人は、あなたですか。

デコードは検証できません。違いは、JWT のセキュリティ モデル全体です。 ヘッダーとペイロードは暗号化されていない base64url であるため、トークンを保持している人なら誰でも、キーなしでその中のすべてのクレームを読み取ることができます。 署名が提供するのは、内容が変更されていないことを証明するものであり、それを確認するには、サーバー側の操作である秘密鍵または公開鍵が必要です。 ペイロードを公開情報として扱います。重要なものを決して入れないでください。

JWTトークンをオンラインでデコードして結果を確認する簡単な方法: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOi0MiIsImlhdCI6MTc2NzIyNTYwMCwiZXhwIjoxNzY3MjI5MjAwfQ.sigを貼り付けてDecodeをクリックします。 Bearerプレフィックスはドロップされ、Headerパネルは{"alg": "HS256" 、 "typ": "JWT"} を示し、独自のコピーボタンでJWTペイロードビューアとして機能するPayloadパネルはサブ "42" 、iat 1767225600 およびexp 1767229200 を示します。 claimsテーブルはそれらを2026-01-01T00:00:00.000Zおよび2026-01-01T01:00:00.000Zに変え、expをExpiredとしてマークします。 ここでの署名セグメントはプレースホルダーテキストsigであり、ツールは署名をチェックしないため、トークンをデコードします。