JWT パーサー
JSON Web Token (JWT) をデコードし、リアルタイムで検証できます。ヘッダー、ペイロード、署名情報をブラウザ内で安全に確認できます。
ヘッダー
ペイロード
署名
アルゴリズム
無効なトークン
JWT パーサーの使い方
トークンを貼り付け
入力欄に JWT トークンを貼り付けます
自動デコード
貼り付けると自動でデコードされます
各要素を確認
ヘッダー、ペイロード、署名データを確認できます
状態を確認
有効性や有効期限を確認できます
JWT について
JWT とは？
JSON Web Token (JWT) は、2 者間でやり取りするクレーム情報を表すためのコンパクトで URL セーフな形式です。ヘッダー、ペイロード、署名の 3 つで構成され、ドットで区切られた base64url 形式です。
- • ヘッダー: トークン種別と署名アルゴリズムを含みます
- • ペイロード: クレームやユーザーデータを含みます
- • 署名: 改ざんされていないことを確認します
- • ステートレス: サーバー側のセッション保存が不要です
JWT を解析する理由
JWT の解析は、認証の不具合調査、内容確認、有効期限の確認、トークンで何が送られているかの把握に役立ちます。
- • デバッグ: 開発中に内容を確認できます
- • セキュリティ: 構造やクレームを確認できます
- • 有効期限: 有効期間を確認できます
- • 開発: 認証フローの理解に役立ちます
標準 JWT クレーム早見表
RFC 7519 で定義された登録クレーム名で、ほぼすべてのトークンペイロードに登場します。
| クレーム | 正式名称 | 意味 |
|---|---|---|
| iss | 発行者 | トークンを作成・署名した主体 |
| sub | サブジェクト | トークンの対象（通常はユーザー ID） |
| aud | 対象読者 | トークンの宛先（クライアントや API） |
| exp | 有効期限 | この Unix timestamp を過ぎたらトークンを拒否しなければならない |
| nbf | 開始日時 | この Unix timestamp より前はトークンが無効である |
| iat | 発行日時 | トークンが作成された時点の Unix timestamp |
| jti | JWT ID | 一意の識別子。失効リスト（取り消しリスト）に便利です |
よく使われる JWT アルゴリズム
- • HS256（HMAC + SHA-256）： 対称型——単一の共有シークレットで署名と検証の両方を行います。シンプルですが、シークレットを握る者は誰でもトークンを偽造できます。
- • RS256（RSA + SHA-256）： 非対称——秘密鍵で署名し、公開鍵で検証。分散システム向けの標準的な選択肢です。
- • ES256（ECDSA + SHA-256）： RS256 と同じ非対称型ですが、署名がはるかに短く、現代のデフォルトとして優れた選択肢です。
- • なし： 署名なしトークン。まともな検証システムであれば必ず拒否すべきもので、過去には重大な認証バイパス脆弱性の原因となってきました。
安全上の注意
- • 本番環境のトークンを貼り付けない ようなことは避けましょう。本パーサーはブラウザ内で完全に動作します（オフラインでも動くことで確認できます）が、すべてのサイトがそうであるとは限りません。
- • JWT は暗号化されていません。 ペイロードは base64url でエンコードされているだけです。トークンを持っていれば誰でも読めてしまうため、クレームに機密情報を入れてはいけません。
- • デコードは検証ではありません。 構造が正しそうに見えても、署名の正当性は保証されません。検証には鍵が必要で、その鍵が認証サーバーの外に出ることはありません。
- • exp はサーバー側で検証する。 期限切れトークンを拒否するのは検証側の役割であって、クライアントの役割ではありません。
即時デコード
貼り付けると JWT を自動デコードし、色分け表示します。
100% プライベート
デコードはすべてブラウザ内で行われ、トークンが端末外へ送信されることはありません。
完全無料
登録不要、回数制限なしでいつでも JWT を確認できます。
JWT パーサー FAQ
このツールに JWT を貼り付けても安全ですか?
はい。デコードはすべてブラウザ内で実行され、ネットワーク通信は一切発生しません。インターネットを切断してからページを再読み込みすれば、これを確認できます。とはいえ、基本的なセキュリティ習慣として、本番環境のトークンはどこにも貼り付けないようにしましょう。
JWT を解析すると署名の検証も行われますか?
いいえ。解析ではヘッダーとペイロードが base64url でデコードされるだけです。署名の検証には署名鍵(HMAC シークレットまたは公開鍵)が必要で、それを持っているのはあなたの認証サーバーだけです。
なぜ誰でも私の JWT ペイロードを読めてしまうのですか?
JWT ペイロードはエンコードされているだけで、暗号化はされていません。トークンを持っていれば誰でもデコードしてクレームを読み取れます——これは意図された設計です。JWT ペイロードの中に機密情報や機微なデータを決して保存しないでください。
トークンの有効期限を知るにはどうすればよいですか?
exp クレームを確認してください——この Unix timestamp を過ぎたらトークンを拒否しなければなりません。本パーサーは exp と nbf に基づいて、トークンの状態(有効、期限切れ、まだ有効でない)を自動的にハイライト表示します。
関連ツール
Markdown から HTML
Markdown をきれいな HTML に変換できます。ライブプレビューや各種設定にも対応し、記事作成やコンテンツ整備に便利です。
HTML から Markdown
HTML を読みやすい Markdown に変換できます。ドキュメント整備やコンテンツ移行に最適です。
テキスト整形
豊富な整形機能でテキストを整理・整形できます。余分な空白の削除、大文字小文字の調整、読みやすさの改善に役立ちます。
文字数カウンター
SNS の文字数制限をリアルタイムで確認しながら文字数を数えられます。X、Facebook、Instagram などの投稿最適化に便利です。
可読性チェッカー
複数の指標で文章の読みやすさを分析し、改善のヒントを確認できます。
Word 変換
テキスト、Markdown、画像を Word 文書に変換できます。OCR で画像から文字を抽出し、DOCX を作成できます。