JWTデコーダー オンライン
JWTのヘッダーとペイロードを瞬時にデコードします — すべてブラウザ内で処理されます。
このツールはJWTをデコードするだけで、署名は検証しません。 デコードはヘッダーとペイロードを読み取るだけであり、秘密鍵がなくても誰でも行えます。ここに表示されたトークンは期限切れ、改ざん済み、あるいは完全に偽造されたものかもしれません。正しい秘密鍵または公開鍵を使ってサーバー側で検証しない限り、トークンの内容を決して信用しないでください。
JWT
⚠️ このトークンのヘッダーは alg: none、つまり全く署名されていないことを意味します。一部のサーバーは過去に（誤って）「none」トークンを有効として受け入れており、誰でも任意のクレームを偽造できてしまいました。このトークンには暗号学的な保証が一切ないものとして扱ってください。
ヘッダー
ペイロード
署名
そのまま表示されます — 署名は、それを作成する際に使われた秘密鍵または公開鍵がなければデコードも検証もできません。
デコードはすべてブラウザ内で行われ、トークンが当社サーバーに触れることは一切ありません。
このツールは署名を確認できませんし、確認もしません — 何らかのクレームを信用する前に、上記の警告を確認してください。
アカウント不要、デコードできるトークンの数にも制限はありません。
JWTとは？
JWT（JSON Web Token）は、2者間でクレームを表現するためのコンパクトでURLセーフな形式で、認証トークンやセッションデータによく使われます。ドットで区切られた3つのbase64urlエンコードされたセグメントから構成されます：ヘッダー（トークンの種類と署名アルゴリズムを示す）、ペイロード（実際のクレーム — ユーザーID、有効期限、権限など）、署名（ヘッダーとペイロードが改ざんされていないことを検証するために使用）。
オンラインでJWTをデコードする方法
- トークンを貼り付けます。 ドットで区切られた3つのセグメントすべてを含む完全なJWT。
- デコードされたヘッダーとペイロードを確認します。 どちらも即座に更新され、読みやすいJSON形式で表示されます。
- クレームを確認します。 有効期限、発行日時、有効開始日時（存在する場合）が、読みやすい日付と期限切れ/有効のバッジとともに表示されます。
- 必要なものをコピーします。 ヘッダーとペイロードのパネルにはそれぞれ専用のコピーボタンがあります。
デコードは検証ではありません
これは、このツールを含むあらゆるJWTデコーダーについて理解すべき、最も重要なことです。 JWTをデコードしても、それが本物かどうかは一切証明されません。 ヘッダーとペイロードは単にbase64エンコードされたJSONに過ぎず、読み取るのに秘密鍵は必要ありません。だからこそ、このツール（および他のあらゆるJWTデコーダー）は瞬時にその内容を表示できます。トークンが信頼できる送信元から来たものであり、改ざんされていないことを実際に証明するのは署名であり、それを検証するにはトークンの署名に使われたのと同じ秘密鍵（非対称アルゴリズムの場合は公開鍵）が必要です — これはサーバーだけが持つべきものです。JWTが主張する内容を信用する前に、必ずサーバー側で検証してください。
Frequently Asked Questions
JWTをデコードするにはどうすればいいですか？
ボックスにJWT（ドットで区切られた3つのbase64urlセグメント）を貼り付けると、ヘッダーとペイロードが即座にデコードされ、読みやすいJSON形式で表示されます。
このツールはJWTの署名を検証しますか？
いいえ — これはデコーダーであり、検証ツールではありません。デコードはヘッダーとペイロードを読み取るだけで、秘密鍵がなくても誰でも行えます。署名は確認しないため、デコードされたトークンは期限切れ、改ざん済み、または完全に偽造されたものである可能性があります。正常にデコードできたというだけでトークンを本物と見なさないでください — 正しい秘密鍵または公開鍵を使ってサーバー側で検証してください。
「alg: none」とはどういう意味で、なぜフラグが立てられるのですか？
「none」は実在する有効なJWTアルゴリズムの値で、トークンが全く署名されていないことを意味します。過去には、一部のサーバー実装がalg:noneトークンを誤って有効と受け入れ、攻撃者が任意のクレームを偽造できてしまいました。このツールはそれを明確にフラグ表示するため、そのトークンには暗号学的な保証が一切ないことがわかります。
exp、iat、nbfクレームとは何ですか？
exp（有効期限）はトークンが無効になる時刻、iat（発行日時）は作成された時刻、nbf（有効開始日時）は有効になる時刻です。このツールは、存在する場合、それぞれを読みやすい日付と相対的な説明（「2時間後に期限切れ」など）とともに表示します。
無効なJWTを貼り付けるとどうなりますか？
何が問題なのかを説明する明確なエラーメッセージが表示されます — 例えば、JWTにはドットで区切られた3つのセグメントが必要であることや、あるセグメントが有効なBase64やJSONではないことなどです。
自分のトークンはどこかにアップロードされますか？
いいえ。デコードはすべてブラウザ内で行われ、トークンがCurePDFのサーバーに送信されることは一切ありません。とはいえ、実際のトークンは機密情報として扱ってください。それを持つ人は誰でも、このツールと同じようにその内容をデコードできます。
JWTデコーダーは無料ですか？
はい、アカウント不要で、デコードできるトークンの数にも制限はありません。
デコードされたヘッダーやペイロードをコピーできますか？
はい — ヘッダーとペイロードの両方のパネルに専用のコピーボタンがあります。