即座のローカルデコード
トークンを貼り付けた瞬間に、ヘッダーとペイロードがJSONとしてデコード・整形表示されます — ボタンをクリックする必要はありません。
JWTデコーダー
JWT（JSON Web Token）のヘッダー、ペイロード、署名を即座にデコードします。exp、iat、nbfクレームのステータスも確認可能。100%クライアントサイド、アップロードなし、トラッキングなし。
広告
広告
データをアップロードせずにJWTをデコード
JWTのヘッダー、ペイロード、署名を即座にデコード。クレーム状態表示付き。ブラウザ内で。アップロード不要。
100%プライベート
高速・ローカル
永久無料
使い方
- 1
JWTを貼り付け
JWTをコピーして、上部の入力ボックスに貼り付けします。
- 2
ヘッダーとペイロードを確認
デコードされたヘッダー（アルゴリズム）とペイロード（クレーム）が、整形されたJSONとして表示されます。
- 3
クレームステータスを確認
iat、nbf、expクレームがハイライトされ、期限切れやまだ有効でないトークンは赤または黄色でフラグ表示されます。
- 4
必要に応じてコピー
コピーボタンを使用して、デコードされたヘッダーまたはペイロードのJSONをコピーします。
このJWTデコーダーを使う理由
`exp`、`nbf`、`iat`クレームが解析されて現在時刻と比較され、期限切れ、まだ有効でない、有効なトークンが明確な色分けで表示されます。
UTF-8セーフ
絵文字や国際文字を含む非ASCII文字を含むBase64URLペイロードも正しくデコードします。
広告
JSON Web Token (JWT)について
JWTとは何か？
JSON Web TokenはRFC 7519のオープン標準で、JSONオブジェクトとして情報を安全に送信する方法を定義します。Webアプリの認証・認可に広く使用されています。
広告
デコード vs 検証
デコードはヘッダーとペイロードをBase64URLデコードしてクレームを読み取ることです。秘密鍵は不要です。検証は署名を確認し、トークンが信頼できる発行者からのもので改ざんされていないことを確認します。
広告
一般的な使用例
認証のデバッグ
認証サーバーが発行したJWTのクレームを調べて、ユーザーID、ロール、有効期限を確認します。
API開発
サーバーで生成したJWTがクライアントに送信する前に期待通りのペイロードを含んでいるかを素早く確認します。
JWT構造の学習
コードを書かずに、JWTがどのように構成されているか（ヘッダー、ペイロード、署名）を正確に確認できます。
期限切れトークンのトラブルシューティング
401エラーが期限切れの`exp`クレームと、まだ有効でない`nbf`クレームのどちらによるものかを即座に確認できます。
Comparison
| 機能 | NovaTools | JWT.io | JWT.ms |
|---|---|---|---|
| プライバシー（アップロード無し） | 100%ローカル | サーバーにアップロード | サーバーにアップロード |
| クレーム状態(exp/nbf/iat) | 色分け | ||
| 整形JSON出力 | |||
| UTF-8安全デコード | 制限付き | ||
| オフライン利用 | ページ読み込み後 |
JWT.ioとJWT.msはトークンをサーバーにアップロードします。当社のツールはすべてローカルでデコードします。
JWTクイックリファレンス
JSON Web Tokenの重要情報。
トークン構造
| シンボル / コード | 説明 | 例 |
|---|---|---|
header.payload.signature | ドットで区切られた3つのBase64URLエンコード部分。 | eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjMifQ.abc123 |
header | アルゴリズム（alg）とトークンタイプ（typ）を含むJSONオブジェクト。 | {"alg":"HS256","typ":"JWT"} |
payload | ユーザーとトークンに関するクレームを含むJSONオブジェクト。 | {"sub":"123","exp":1735689600} |
signature | HMAC/RSA/ECDSA署名。デコードされず、検証のみ。 | HMAC-SHA256(header.payload, secret) |
header.payload.signatureドットで区切られた3つのBase64URLエンコード部分。
例:
eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjMifQ.abc123headerアルゴリズム（alg）とトークンタイプ（typ）を含むJSONオブジェクト。
例:
{"alg":"HS256","typ":"JWT"}payloadユーザーとトークンに関するクレームを含むJSONオブジェクト。
例:
{"sub":"123","exp":1735689600}signatureHMAC/RSA/ECDSA署名。デコードされず、検証のみ。
例:
HMAC-SHA256(header.payload, secret)登録済みクレーム
| シンボル / コード | 説明 | 例 |
|---|---|---|
sub | サブジェクト — ユーザーまたはエンティティを識別します。 | "sub":"user-123" |
iss | 発行者 — トークンを発行した主体を識別します。 | "iss":"auth.example.com" |
aud | オーディエンス — トークンの意図された受信者。 | "aud":"api.example.com" |
exp | 有効期限（Unixタイムスタンプ秒）。 | "exp":1735689600 |
iat | 発行時刻（Unixタイムスタンプ秒）。 | "iat":1735603200 |
nbf | 有効開始時刻 — この時刻より前はトークンが無効です。 | "nbf":1735603200 |
subサブジェクト — ユーザーまたはエンティティを識別します。
例:
"sub":"user-123"iss発行者 — トークンを発行した主体を識別します。
例:
"iss":"auth.example.com"audオーディエンス — トークンの意図された受信者。
例:
"aud":"api.example.com"exp有効期限（Unixタイムスタンプ秒）。
例:
"exp":1735689600iat発行時刻（Unixタイムスタンプ秒）。
例:
"iat":1735603200nbf有効開始時刻 — この時刻より前はトークンが無効です。
例:
"nbf":1735603200アルゴリズム
| シンボル / コード | 説明 | 例 |
|---|---|---|
HS256 | HMAC with SHA-256。対称型 — 署名と検証で同じシークレットを使用。 | {"alg":"HS256"} + shared secret |
RS256 | RSA署名 with SHA-256。非対称型 — 秘密鍵で署名、公開鍵で検証。 | {"alg":"RS256"} + RSA 2048-bit key pair |
ES256 | ECDSA with P-256 and SHA-256。非対称型 — RSAより小さい署名。 | {"alg":"ES256"} + EC P-256 key pair |
none | 署名なし。安全ではない — 本番環境では使用しないでください。 | {"alg":"none"} — CRITICAL vulnerability |
HS256HMAC with SHA-256。対称型 — 署名と検証で同じシークレットを使用。
例:
{"alg":"HS256"} + shared secretRS256RSA署名 with SHA-256。非対称型 — 秘密鍵で署名、公開鍵で検証。
例:
{"alg":"RS256"} + RSA 2048-bit key pairES256ECDSA with P-256 and SHA-256。非対称型 — RSAより小さい署名。
例:
{"alg":"ES256"} + EC P-256 key pairnone署名なし。安全ではない — 本番環境では使用しないでください。
例:
{"alg":"none"} — CRITICAL vulnerabilityよくある質問
このツールはJWT署名の検証を行いますか？
いいえ。このツールはトークンのデコードのみを行い、署名の検証は行いません。デコードはトークンが主張する内容を教えますが、誰でも任意のクレームを持つトークンを作成できます。検証には署名用シークレットまたは公開鍵が必要です。
ここにJWTを貼り付けるのは安全ですか？
はい。すべてのデコードはブラウザ内でローカルに行われます。トークンがサーバーに送信されることはありません。ただし、信頼できないサイトにトークンを貼り付けるのは避け、スクリーンショットやサポートチケットでJWTを共有しないでください。
iat、nbf、expクレームは何を意味しますか？
`iat`（issued at）はトークンが作成された時刻です。`nbf`（not before）はトークンが有効になる最も早い時刻です。`exp`（expiration）はトークンが無効になる時刻です。すべて秒単位のUnixタイムスタンプとして保存されます。
トークンが3つの部分に分かれているのはなぜですか？
JWTはドットで区切られた3つのBase64URLエンコード部分で構成されます：`header.payload.signature`。ヘッダーはアルゴリズムを記述し、ペイロードはクレームを含み、署名は整合性の検証に使用されます。
Base64URLエンコードとは何ですか？
Base64URLはBase64のバリアントで、`+`の代わりに`-`、`/`の代わりに`_`を使用し、`=`のパディングを省略します。これにより、エンコードされた文字列がURLやJSONで安全に使用できるようになります。
JWTの署名を検証できますか？
このツールはデコードのみを行います。署名の検証には秘密鍵が必要です。デコードは誰でも実行できますが、検証は発行者のみが実行すべきです。
exp、nbf、iatクレームとは何ですか？
exp是有効期限、nbfは使用開始時刻、iatは発行時刻です。ツールはこれらのクレーム状態を色分けで表示し、トークンが有効か期限切れかを一目で確認できます。
モバイルデバイスで使用できますか？
はい、完全にレスポンシブで動作します。すべてのデコードはスマートフォン上でローカルに実行されます。
このツールを商用プロジェクトに使用できますか？
はい。個人・商用ともに無料で、水印、使用制限はありません。
Base64URLとBase64の違いは何ですか？
Base64URLは+を-に、/を_に置き換え、=のパディングを省略します。JWTはBase64URLエンコードを使用するため、標準Base64デコーダでは正しくデコードできません。
100%クライアントサイド＆プライベート
JWTのデコードは完全にブラウザ内で行われます。
- トークンがアップロード、ログ、保存されることはありません。
- 機密性の高いトークンの場合は、オフラインツールの使用もご検討ください。。
こちらもおすすめ
役立つガイド
JWTトークンのデコード方法（Header, Payload, Signature）
JWT（JSON Web Token）のデコード方法を解説します。header.payload.signatureの3つの構造、iat/nbf/expクレームの意味、デコードと署名検証の重要な違い、Base64URLを安全にデコードする手順を紹介する開発者向けガイドです。
Base64 テキストを安全にエンコード・デコードする方法
Base64 の用途、標準 Base64 と URL セーフ Base64 の違い、ブラウザ内でローカルにエンコード・デコードする方法を説明します。
時間を節約する10の無料開発者生産性ツール
多額の費用をかけずに生産性を向上させる最高の無料開発者ツールを発見してください。コードフォーマッターからAPIテスターまで、これらのツールはワークフローを効率化します。
広告