JWT デコーダー — 無料・プライベート・アップロードなし
ブラウザで任意の JWT をデコード。ヘッダー、ペイロード、署名を確認 — さらにトークンの実際の用途、推測されるタイプ、セキュリティ警告も表示します。何もアップロードされません。
上の入力欄に JWT を貼り付けるとデコードされます。すべてブラウザ内で実行されます。
仕組み
- JWT を貼り付け — 任意の JWT をドロップまたは貼り付け。すべてブラウザ内で解析され — 何もアップロードされません。
- ヘッダー、ペイロード、署名を確認 — 3 つの base64url 部分に分割し、ヘッダーとペイロードを JSON にデコードした上で、各標準クレームの意味を説明します。
- タイプ・有効期限・警告を確認 — access / id / service トークンのいずれかを推測し、人が読めるタイムスタンプを表示し、alg:none、期限切れ、機密データなどのリスクをフラグ付けします。
よくある質問
Frequently Asked Questions
私の JWT はサーバーにアップロードされますか？
いいえ。デコードはすべて JavaScript によりブラウザ内で実行されます。サーバーはあなたのトークンを受信しません。ログも保存も共有も一切行いません。
デコードと検証 — 違いは何ですか？
デコードは base64 の内容を読み取るだけです（誰でも可能、ペイロードは暗号化されていません）。一方検証は、シークレットまたは公開鍵で署名をチェックし、トークンが改ざんされていないことを証明します。デコードだけされて検証されていないトークンは偽造されている可能性があります。
トークンにセキュリティ警告が表示されるのはなぜですか？
一般的なリスクをフラグ付けします：alg:none（署名なし）、期限切れ（exp が過去）、まだ無効（nbf）、ペイロード内の機密データ（メール/パスワード/鍵）、または exp のないトークン。これらは調査すべき手がかりであって、必ずしもバグではありません。
トークンタイプはどうやって推測するのですか？
クレームセットから推測します：email/email_verified/sub は OIDC ID トークンを、scope/client_id/aud/exp は OAuth アクセストークンを、iss+scope+RS256+sub なし はサービスアカウントアサーションを示唆します。推測結果とその根拠を併せて表示し、あなたが判断できるようにします。
長さに制限はありますか？
厳密な制限はありませんが、大きな x5c 証明書チェーンを含む JWT では描画が遅くなることがあります。すべてブラウザのメモリ内に留まります。
ここで署名を検証できますか？
本ツールはトークンをデコード（読み取り）します。署名検証にはシークレット（HMAC）または公開鍵（RSA/ECDSA）が必要で、ロードマップに入っています。それまでは、デコードのみのトークンを認可に信用しないでください。