JWTデコーダー

これらはJWTヘッダーの署名アルゴリズムを指します。HS256 (HMAC-SHA256) は共有秘密鍵を使用します。つまり、同じキーが署名と検証の両方に使用されます。これは、キーを持っている人なら誰でも有効なトークンを作成できることを意味します。RS256 (RSA-SHA256) は公開鍵/秘密鍵のペアを使用します。サーバーは秘密鍵で署名し、検証用に公開鍵を公開します。RS256は分散システムにおいてより安全です。なぜなら、検証者は公開鍵のみを必要とし、トークンを偽造できないからです。このデコーダーはalgフィールドを表示しますが、どちらのアルゴリズムも検証は行いません。内部の情報を読み取るだけです。

いいえ。署名の検証には、トークンに署名する際に使用された秘密鍵（HMACアルゴリズムの場合）または公開鍵（RSA/ECアルゴリズムの場合）が必要です。このツールはデコードのみを行い、ヘッダーとペイロードをBase64urlデコードして内容を表示するだけで、暗号技術的な検証は行いません。署名セクションはそのまま表示されますが、検証されません。署名の検証には、お使いのサーバー側のJWTライブラリ（Node.jsならjsonwebtoken、PythonならPyJWT、Javaならjava-jwtなど）を使用してください。

登録済みクレームは、RFC 7519で定義されている標準化されたペイロードフィールドです。7つの標準的なクレームは次の通りです：iss (issuer) — トークンを発行した主体; sub (subject) — トークンの対象者（通常はユーザーID）; aud (audience) — 意図された受信者; exp (expiration time) — トークンが無効になるUnixタイムスタンプ; nbf (not before) — トークンを受け取ってはいけないUnixタイムスタンプより前の時間; iat (issued at) — トークンが作成された際のUnixタイムスタンプ; jti (JWT ID) — トークンの固有識別子。このツールは、exp、nbf、およびiatをUnixタイムスタンプから人間が読み取れる日付に変換します。

デコーダーはexpクレームを現在時刻と比較し、期限切れのトークンを明確にマークします。期限切れのトークンは、APIによって401 Unauthorizedレスポンスで拒否されます。リフレッシュトークン（認証システムがサポートしている場合）を使用して新しいアクセストークンを取得するか、再度ログインする必要があります。APIからの「expired token」エラーをデバッグしている場合、このデコーダーを使用すると、トークンがいつ期限切れになり、いつ発行されたのかを正確に確認できます。

ヘッダーのalgフィールドはデコードされた状態で表示されるため、トークンに "alg":"none" がある場合は表示されます。これは既知のJWT脆弱性です。初期の実装の中には署名のないトークン（alg:none）を受け入れていたものがあり、攻撃者が任意のペイロードを偽造できることがありました。適切に実装されたJWTライブラリは、デフォルトでalg:noneトークンを拒否します。自身のシステムから発行されたトークンにalg:noneが見られる場合は、直ちに対処が必要な重大なセキュリティバグです。

いいえ。すべてのデコードはブラウザ内でJavaScriptを使用して行われます。Base64urlデコードにはサーバー側の計算は不要です。あなたのJWTトークンに含まれるユーザーID、ロール、またはセッションデータを含む情報は、デバイスから外へ送信されることはありません。ただし、本ツールを含め、オンラインツールに本番環境のJWTトークンを貼り付ける際は注意してください。本番の認証の問題をデバッグする場合は、代わりにブラウザの開発者ツールのネットワークタブまたはログシステムを使用してください。

有効なJWTは、3つのBase64urlエンコードされたセクションを区切る正確に2つのドットを持つ必要があります。トークンにドットがない場合、それはJWTではありません。自己完結型のJWTではなく、不透明なトークン（サーバー側のルックアップが必要なランダムな識別子）である可能性があります。一部のシステムでは両方のタイプを使用しています：不透明なリフレッシュトークンとJWTアクセストークンです。「Invalid JWT format」エラーが表示される場合は、貼り付けているものがアクセストークン（「ey」で始まるはずです）であり、リフレッシュトークンではないか確認してください。