無料オンラインJWTデコーダーと検査ツール

上のボックスにトークンを貼り付けてください。2つのドットで分割され、最初の2つのパートがBase64urlデコードされてJSONになります。ヘッダーとペイロードがすぐに表示され、アルゴリズムやexp、iatの日付も確認できます。

はい。ヘッダーとペイロードはBase64urlでエンコードされているだけで暗号化されていないため、トークンを持っていれば誰でも読めます。シークレットキーや秘密鍵が必要なのはトークンの署名や検証のためであり、クレームを読むためではありません。そのため、トークンにパスワードを含めてはいけません。

デコードはクレームを読み取ることです。検証は、シークレット(HS256)または公開鍵(RS256、ES256)で署名を再計算し、クレームが改ざんされていないことを証明することです。このツールはデコードのみを行うため、サーバー側のコードがJWTライブラリで検証するまで、アプリ内でトークンを信用しないでください。

有効なトークンはブラウザ内でデコードされ、PixConvertに送信されることはありません。アナリティクスにはCopyなどのクリックとデコードにかかった時間が記録されます。トークンが壊れている場合はエラーテキストも送信され、Chromeではデコードされた数文字が引用されることがあります。貼り付けるなら、期限切れのトークンやテスト用トークンが最も安全です。

expは、1970年1月1日からの経過秒数(Unix時間)で表した有効期限です。このデコーダーはそれをお使いのローカルタイムゾーンの日付で表示し、その時刻を過ぎるとトークンに「Expired」と表示します。expのないトークンは「Active」と表示されます。

「Active」は、expの時刻をまだ過ぎていないか、トークンにexpがないことを意味するだけです。このツールは署名、nbf(not before)、発行者、オーディエンスを検証しないため、偽造されたトークンやまだ有効でないトークンでも「Active」と表示されることがあります。これらのクレームはご自身で確認してください。

デコードには、2つのドットで区切られたちょうど3つのパートが必要です。Bearerの文字や引用符を削除し、コピーが途中で切れていないか確認してください。暗号化されたJWEトークンは5つのパートで構成されており、鍵がなければデコードできません。

はい。デコードの方法はどのアルゴリズムでも同じで、HS256、RS256、ES256、noneなど、ヘッダーのalgの値はステータスバーに表示されます。アルゴリズムを知っておく必要があるのは、ご自身のコードで署名を検証するときだけです。

IDトークンは常にJWTで、sub、email、nameなどのクレームを使って、誰がサインインしたかをアプリに伝えます。アクセストークンはクライアントがAPIを呼び出すためのもので、JWTの場合もあれば、不透明な文字列の場合もあります。ここでデコードできるのはJWT形式のトークンだけです。

署名はHMAC、RSA、ECDSAのバイナリ出力を、Base64urlのテキストとして表したものです。それ自体には読み取れる意味はなく、ヘッダーとペイロードが変更されていないことを証明するだけです。このデコーダーは署名をテキストとして表示するだけで、検証は行いません。

現在のデコーダーはペイロードのバイトをUTF-8としてではなく1バイトずつ読み取るため、JoséはJoséと表示され、絵文字は奇妙な記号になります。トークン自体には問題ありません。sub、iat、expなどの通常のASCIIのクレームは影響を受けません。