JWTをデコード
JSON Web Tokenをブラウザ内でローカルにデコードし、ヘッダーとペイロードを読めるJSONで表示。アップロードは一切なし。
お使いの端末でローカル処理中 ...
お使いの端末でローカル処理中 ...
0%
ファイルは一度も端末から出ていません
私のファイルはアップロードされますか？
いいえ。すべてブラウザ内で動作します。あなたのファイルが端末から出ることはありません。これが検証できる理由
JSON Web Token (JWT, RFC 7519) は、ピリオドで区切られた3つの部分、ヘッダー、ペイロード、署名から成るコンパクトなトークンです。ヘッダーとペイロードは単にBase64URLでエンコードされたJSON (RFC 7515) であり、秘密ではなく転送に安全な表記にすぎません。このツールは各部分を分割し、ヘッダーとペイロードをデコードして、中身のJSONをきれいに字下げして表示します。どのアルゴリズムが宣言され、どんな主張 (クレーム) を運んでいるかが一目でわかります。
正直に申し上げます。このツールはデコードするだけで、署名は検証しません。本当の検証には発行者の秘密鍵か公開鍵が必要ですが、このツールは意図的に一切要求しません。つまりデコードできたトークンがそのまま信頼できるトークンになるわけではなく、中身は改ざんされている可能性があります。この表示は理解とデバッグ (どのクレームか、expはいつ切れるか、issは誰か) のために使い、真正性の証明には決して使わないでください。
処理はすべて純粋なJavaScriptでブラウザ内のローカルで完結します。トークンはアップロードも保存もされず、外部ライブラリをCDNから読み込むこともありません。これはトークンでこそ重要です。アクセストークンやIDトークンを他人のオンラインフォームに入れてはいけないからです。入力が有効なJWTでない場合、ツールは誤った結果を作り出さず、正直にその旨を伝えます。
最もよく知られたオンラインJWTデバッガー(jwt.ioなど)自体が、処理が外部サイトを経由するため、実際の本番トークンを貼り付けないよう警告しています。このツールではその心配はありません。ブラウザ内で完全にローカルに動作し、アカウント不要、データ送信も一切ないため、実際のユーザーデータを含む本物のアクセストークンやIDトークンも、テスト用トークンと同じくらい安全に扱えます。
技術仕様
| 入力形式 | テキスト入力 |
|---|---|
| 出力形式 | JSON |
| 一括処理 | 非対応 |
| 処理 | ブラウザ内でローカル処理 (JavaScript) |
| ファイルのアップロード | なし |
3ステップで
- JWTをテキスト欄に貼り付けます。
- デコードをクリックします。
- ヘッダーとペイロードをJSONとして読むか、ダウンロードします。
制限: 署名検証なしの純粋なデコードです。このツールはトークンが本物か改ざんされていないかを確認しません。それには発行者の鍵が必要です。有効期限切れかどうかも判定せず、クレームを表示するだけです。暗号化トークン (JWE) は復号しません。ヘッダーとペイロードはBase64URLにすぎず暗号化ではないので、ペイロードには絶対に秘密情報を入れないでください。
よくある質問
トークンはアップロードされますか？
いいえ。デコードはすべてブラウザ内でローカルに実行されます。トークンが端末を離れることはなく、保存もされません。
署名は検証されますか？
いいえ。ヘッダーとペイロードをデコードするだけです。署名の検証には発行者の鍵が必要ですが、このツールは意図的に一切要求しません。デコードできたトークンは信頼できるトークンではありません。
JWTは暗号化されていますか？
通常はされていません。ヘッダーとペイロードはBase64URLでエンコードされているだけで、誰でも読み戻せます。ですからペイロードに秘密情報を入れないでください。
exp、iat、issなどのクレームの意味は？
標準クレームです。issは発行者、iatは発行時刻、expは有効期限 (Unix時間)、subは主体を表します。ツールはそのまま表示し、評価はしません。
無効な入力ではどうなりますか？
入力が有効なJWTでない場合 (部分数が違う、Base64URLが壊れているなど)、ツールは誤った結果を出さず、正直にエラーを報告します。
デコードはスマートフォンでも使えますか?
はい、デスクトップと同じように最新のモバイルブラウザであれば、トークンは端末上にローカルのまま保たれます。
アカウントは必要ですか?
いいえ。アカウント不要、登録不要、デコードするトークン数の制限もありません。
ここに実際の本番トークンを貼り付けても安全ですか?
はい。トークンが端末を離れることは決してないため、多くのオンラインデバッガーよりも安全です。とはいえ、トークンはパスワードと同じように扱い、本当に必要なときだけ貼り付けてください。
関連ツール
Base64 エンコード · チェックサムを計算 · UUIDジェネレーター · 証明書を表示 · CSR生成 · BIP39ジェネレーター