無料オンラインJWTデコーダー
サーバーなしでJWTトークンを即座にデコード・検証します。
Who uses the JWTデコーダー?
- トークンのペイロード内容を調べて認証の問題をデバッグするバックエンド開発者。
- ペネトレーションテストでJWTの有効期限設定やクレーム構造を監査するセキュリティエンジニア。
- 認証トークンに埋め込まれたユーザーの役割や権限を確認するフロントエンド開発者。
How the JWTデコーダー works
JWTトークンを入力欄に貼り付けます。
ヘッダーとペイロードが即座にデコードされ、整形されたJSONとして表示されます。
トークンにexp（有効期限）やiat（発行時刻）のクレームがある場合、人間が読める日付とEXPIRED/validラベルが自動的に追加されます。
このツールはデコードのみを行います——署名の検証は行いません。
Tips & tricks
- 有効期限のチェックはexpをお使いのデバイスの時計と比較します——システム時刻が間違っていると、EXPIRED/validラベルも誤ったものになります。
- JWTをデコードするには少なくともヘッダーとペイロード（ドットで区切られた2つのセグメント）が必要です——署名セグメントがないトークンでもここではデコードできます。
- このツールはトークンをどこにも送信しません——デコードはブラウザタブ内のJavaScriptで完全に完結します。
- 実際に署名を検証する（クレームを読むだけでなく）には、署名用のシークレットまたは公開鍵と、暗号学的チェックを行うライブラリが必要です——このツールはそれを行いません。
Frequently Asked Questions
JWTとは何で、何が含まれていますか？
JWT（JSON Web Token）は、コンパクトで自己完結型のトークン形式です。ドットで区切られた3つのbase64urlエンコード部分から成ります：ヘッダー（アルゴリズムとタイプ）．ペイロード（クレーム——ユーザーデータ、有効期限、発行者）．署名（検証用）。
このツールにJWTを貼り付けても安全ですか？
デコードは完全にブラウザ内で行われます——トークンがサーバーに送信されることはありません。ただし一般的なセキュリティ対策として、稼働中のアカウントの本番アクセストークンはどのオンラインツールにも貼り付けないようにしてください。
一般的なJWTクレーム（iss、sub、exp、iat）とは？
iss = issuer（トークンを発行した主体）。sub = subject（ユーザーID）。exp = 有効期限（Unixタイムスタンプ）。iat = 発行時刻。nbf = これより前は無効。aud = audience（想定される受信者）。
このツールでJWTの署名を検証できますか？
いいえ——このツールはヘッダーとペイロードのみをデコードし、署名は確認しません。署名を検証するには、トークンが発行された言語のサーバーサイドライブラリ、または署名検証をサポートする専用のJWTライブラリを使用してください。
なぜシークレットを知らなくてもJWTをデコードできるのですか？
ヘッダーとペイロードはbase64urlでエンコードされているだけで、暗号化されていません。誰でもデコードできます。署名は完全性を保護するものです——シークレットや鍵がなければ、有効なJWTを偽造したり、既存のトークンを検証したりすることはできません。
Is my data safe when using the JWTデコーダー?
Completely safe. The JWTデコーダー processes everything locally in your browser. No input data, results, or usage information is ever transmitted to or stored on any server.
Can I use the JWTデコーダー output in commercial projects?
Yes. The JWTデコーダー is a utility tool and its output carries no licensing restrictions. You are free to use results in any project, commercial or personal.
Does the JWTデコーダー follow official standards?
Yes. The JWTデコーダー is built to comply with the relevant industry standard or specification for this utility type. If you encounter an unexpected result, verify your input against the specification — edge cases outside the standard may produce undefined behaviour.