JWTデコーダー

無料オンラインJWTデコーダー & 検査ツール

この無料オンラインJWTデコーダーで、JSON Web Tokenをすぐにデコードして確認できます。JOSEヘッダー、ペイロードclaims、有効期限、署名アルゴリズムを表示します。認証、認可、APIトークン、OAuth 2.0、OpenID Connectフローに役立ちます。

主な機能

JWTとは？

JSON Web Token（JWT）は、2者間でclaimsをやり取りするためのコンパクトでURLセーフな形式です。RFC 7519で定義されており、Webアプリ、API、マイクロサービスの認証と認可で広く使われています。

登録済みJWT Claims

一般的な署名アルゴリズム

JWTデコーダーの使い方

1. JWTを貼り付け: JWTトークンを入力欄へコピーして貼り付けます。デコードは自動的に始まります。
2. ヘッダーを確認: Headerタブでアルゴリズム、トークンタイプ、キーIDを確認します。
3. ペイロードを確認: Payloadタブですべてのclaimsと読みやすい説明を確認します。
4. 有効期限を確認: ツールがトークンの期限切れ状態を確認します。
5. 署名を確認: Signatureタブで生の署名とアルゴリズム情報を確認します。
6. セクションをコピー: コピー ボタンでデコード済みセクションを整形済みJSONとしてコピーできます。

JWTのよくある用途

こんな人に最適

JWTセキュリティのベストプラクティス

• サーバー側で必ず署名を検証する。
• 短い有効期限のトークンと、必要に応じてリフレッシュトークンを使う。
• 本番環境ではRS256やES256などの強いアルゴリズムを優先する。
• サーバー側でiss、aud、exp、nbf claimsを検証する。
• JWTペイロードは暗号化ではなくエンコードなので、機密データを入れない。
• トークンはHTTPS経由でのみ送信する。
• WebアプリではhttpOnly cookieなど、安全な場所にトークンを保存する。
• 短い有効期限、リフレッシュローテーション、deny listなどでトークン失効を計画する。