JWT デコーダー — オンライン解析ツール

JWTとは？

// Decode a JWT in the browser — header & payload only
function decodeJwt(token) {
  const [h, p, s] = token.split('.');
  const pad = (seg) => seg + '==='.slice((seg.length + 3) % 4);
  const decode = (seg) => JSON.parse(
    atob(pad(seg).replace(/-/g, '+').replace(/_/g, '/'))
  );
  return { header: decode(h), payload: decode(p), signature: s };
}

const { header, payload } = decodeJwt(token);
console.log(header);   // → { alg: 'HS256', typ: 'JWT' }
console.log(payload);  // → { sub: 'user_123', exp: 1999999999, ... }

// Expiration check
const expired = payload.exp * 1000 < Date.now();

主な機能

使用例

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzEyMyIsIm5hbWUiOiJBbGljZSIsInJvbGUiOiJhZG1pbiIsImlhdCI6MTcxNTAwMDAwMCwiZXhwIjoxOTk5OTk5OTk5fQ.4NhxPjwoZxPNuxG-2C5ugGxaUsUJ0QyskAz7Ymz5Sg0

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub": "user_123",
  "name": "Alice",
  "role": "admin",
  "iat": 1715000000,
  "exp": 1999999999
}

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6ImtleS0yMDI1LTAxIn0.eyJpc3MiOiJodHRwczovL2F1dGguZXhhbXBsZS5jb20iLCJhdWQiOiJhcGkuZXhhbXBsZS5jb20iLCJzdWIiOiI5MDA4NzE2NSIsImlhdCI6MTYwMDAwMDAwMCwiZXhwIjoxNjAwMDAzNjAwLCJzY29wZSI6InJlYWQ6dXNlciB3cml0ZTpwb3N0In0.signature_placeholder

{
  "alg": "RS256",
  "typ": "JWT",
  "kid": "key-2025-01"
}

{
  "iss": "https://auth.example.com",
  "aud": "api.example.com",
  "sub": "90087165",
  "iat": 1600000000,
  "exp": 1600003600,
  "scope": "read:user write:post"
}

eyJhbGciOiJFUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwczovL2FjY291bnRzLmdvb2dsZS5jb20iLCJzdWIiOiIxMTA1MDIyNTExNTU4OTkwNzY2Mzk1IiwiYXpwIjoiY2xpZW50LWlkIiwiYXVkIjoiY2xpZW50LWlkIiwiZW1haWwiOiJhbGljZUBleGFtcGxlLmNvbSIsImVtYWlsX3ZlcmlmaWVkIjp0cnVlLCJpYXQiOjE3MTUwMDAwMDAsImV4cCI6MTk5OTk5OTk5OSwibm9uY2UiOiJhYmMxMjMifQ.signature

{
  "alg": "ES256",
  "typ": "JWT"
}

{
  "iss": "https://accounts.google.com",
  "sub": "110502251155899076639",
  "azp": "client-id",
  "aud": "client-id",
  "email": "alice@example.com",
  "email_verified": true,
  "iat": 1715000000,
  "exp": 1999999999,
  "nonce": "abc123"
}

eyJhbGciOiJub25lIiwidHlwIjoiSldUIn0.eyJzdWIiOiJkZWJ1Zy11c2VyIiwiaWF0IjoxNzE1MDAwMDAwfQ.

{
  "alg": "none",
  "typ": "JWT"
}

{
  "sub": "debug-user",
  "iat": 1715000000
}

使い方

1. 1

   JWTを貼り付けてデコード

   ドットで区切られた3つのセグメントを含む完全なトークンを入力ボックスに貼り付けてデコードします。デコーダーはブラウザ内で即座に実行されるため、ボタンをクリックする必要はありません。

2. 2

   デコードされたヘッダー、ペイロード、ステータスを読む

   デコードされたヘッダーでアルゴリズムとトークンタイプを、デコードされたペイロードでクレームを、上部の有効期限／発行時刻チップで状態を読み取れます。期限切れのトークンは赤でフラグ付けされます。

3. 3

   デコード結果をコピー

   各パネルのコピーボタンを使って、デコードされたヘッダーJSON、デコードされたペイロードJSON、または生の署名をコピーします。トークンはどこにも送信されていません。デコードはブラウザ内でローカルに行われました。

Common Errors

jwt.verify(token, secret)  // library default may allow 'none'

jwt.verify(token, secret, { algorithms: ['RS256'] })

{ "sub": "user_123", "role": "admin" }  // no exp

{ "sub": "user_123", "role": "admin", "exp": 1715003600 }

{ "sub": "user_123", "password": "hunter2" }

{ "sub": "user_123", "role": "admin" }  // payload stays minimal

一般的なユースケース

Authorization Bearerトークンをデコード

Authorization: BearerヘッダーのJWTトークンをデコードして、バックエンドが受け取っているクレーム、audience、有効期限を検証します。

OAuth 2.0・OIDCトークンをデコード

OAuth 2.0およびOpenID Connect統合中に、認可サーバー（Auth0、Okta、Google、Keycloak）から返されたアクセストークンやIDトークンをデコードします。

期限切れセッションの診断

拒否されたトークンが期限切れなのか、audienceが間違っているのか、時刻ずれの問題なのかを1秒で確認できます。

キーローテーションの確認

ヘッダーのkid（キーID）を読み取り、JWKSのローテーションが期待どおりの鍵で署名されたトークンを発行しているかを検証します。

セキュリティレビュー

コードレビューやペンテスト中に、alg:noneで署名されたトークン、expが欠落しているトークン、ペイロードからPIIが漏洩しているトークンを発見します。

マイクロサービスのトークン検査

メッシュ内のサービス間トークンをデコードし、ダウンストリーム呼び出しが認可しているスコープとサブジェクトを確認します。

技術的な詳細

RFC 7519準拠

RFC 7519（JWT）、RFC 7515（JWS）、RFC 7518（JWA）に準拠したJWSトークンを処理します。登録済みのすべてのアルゴリズムがデコード対象です。

Base64URLデコード

RFC 4648で定義されたURLセーフなBase64アルファベット（+と/の代わりに-と_）を使用し、パディングに寛容なパースを行います。

ブラウザネイティブ・依存ゼロ

ブラウザのatob、TextDecoder、JSON.parseを基盤としており、外部ライブラリもネットワーク呼び出しもテレメトリもありません。

ベストプラクティス

検証せずに信頼しない

デコーダーはクレームを表示するだけで、それを証明するものではありません。クレームを信頼する前に、発行者の鍵を使って必ずサーバー側で署名を検証してください。

本番環境ではalg:noneを拒否する

JWTライブラリには許可するアルゴリズムの明示的なリストを設定してください。alg:noneは決して受け入れず、キーローテーション時のalg不一致にも注意してください。

ペイロードを軽量に保つ

識別子と短命のクレームをJWTに入れ、大きなデータは不透明なセッションIDの背後に保持してください。大きなトークンはリクエストごとに帯域を消費します。

よくある質問