JWTデコーダー

JWTとは何ですか?

JSON Web Token(JWT)は、ヘッダー、ペイロード、署名の3つの部分をピリオドで区切り、それぞれをBase64URLでエンコードしたコンパクトでURLセーフなトークン形式で、主に認証や情報交換に使われます。

このツールはトークンの署名を検証しますか?

いいえ。このツールはヘッダーとペイロードの内容を読めるようにデコードするだけで、秘密鍵や公開鍵に対して署名を検証することはありません。詳しくは署名セクション上部の注意書きをご覧ください。

exp、iat、nbfクレームはそれぞれ何を意味しますか?

iatはトークンが発行された時刻、nbfはトークンが有効になる最も早い時刻、expはトークンが失効する時刻です。いずれもUnixタイムスタンプ(1970年からの秒数)で、このツールが読みやすい日付に変換します。

本番環境の実際のトークンをここに貼り付けても安全ですか?

デコードは完全にブラウザ内で行われ、トークンがどこにも送信されないという意味では安全です。ただし、どこに貼り付けるとしても実際のトークンは秘密情報として扱ってください。持っている人は有効期限まで悪用できる可能性があるためです。

署名部分が読めないのはなぜですか?

署名はもともと人間が読めるものではなく、トークンが改ざんされていないことを検証するための暗号値です。このツールは署名を生のテキストとして表示しますが、デコードや検証は行いません。

「デコード」が「検証」を意味しないのはなぜですか?

デコードはBase64URLエンコードを元に戻して背後のJSONを明らかにするだけで、署名鍵を知らなくても誰でも行えます。検証はトークンが信頼できる発行者によって発行され、改ざんされていないことを証明するもので、秘密鍵または公開鍵が必要であり、本ツールではなくバックエンド側で行うべき処理です。