JWT デコーダー
クレームを読み、有効期限を確認する
ブラウザ内で処理
入力
トークンはブラウザ内でデコードされ、送信されることはありません。
結果
結果
まだトークンがありません
JWT を貼り付けると、ここに内容が表示されます。
JWT は一見中身が読めませんが、最初の2つの部分は Base64 にすぎず、トークンを持つ人は誰でもクレームを読めます。API が 401 を返したとき、トークンをデコードすれば期限切れなのかクレームが足りないのかがすぐわかります。
使い方
- 1 トークンを貼り付けます。
- 2 ヘッダーとペイロードがすぐにデコードされます。
- 3 発行時刻と有効期限を、お使いの端末のタイムゾーンで確認します。
- 4 署名は表示されますが検証はされません。検証には秘密鍵が必要です。
よくある質問
ここにトークンを貼り付けても安全ですか。
デコードはすべてブラウザ内で行われ、何も送信されません。とはいえ有効なトークンは生きた認証情報です。パスワードと同じように扱い、不安な場所に貼り付けた場合は失効させてください。
なぜ署名を検証できないのですか。
検証にはトークンを署名した秘密鍵か公開鍵が必要で、それを持つのは発行元のサーバーだけです。デコードはトークンが何を主張しているかを示し、検証はその主張が改変されていないことを証明します。
JWT に機微な情報を入れてもいいですか。
いけません。ペイロードはエンコードされているだけで暗号化されていません。トークンを持つ人は誰でもすべてのクレームを読めます。署名が防ぐのは改ざんであって、閲覧ではありません。