JWTデコーダーの使い方｜ヘッダー・ペイロードを貼り付けるだけでJSON表示・exp確認
公開日：2026年7月15日 対象ツール：JWTデコーダー
JWT（JSON Web Token）は、ログイン認証やAPIの認可で広く使われるトークン形式です。header.payload.signature のようにドットで3つに区切られた長い文字列で、前半2つは暗号化ではなくBase64URLエンコードされているだけなので、鍵がなくても中身を読めます。とはいえ人間が目視でBase64URLをデコードするのは現実的ではありません。
この「JWTデコーダー」は、トークンを貼り付けるだけでヘッダーとペイロードを読める形に展開する、エンジニア向けのツールです。処理はすべてお使いのブラウザ内で完結します。
このツールでできること
- JWTをドットで3分割し、ヘッダーとペイロードをBase64URLデコードしてJSONで整形表示します。
- ペイロードの exp（有効期限）・iat（発行日時）・nbf（有効開始） をUNIX時刻から端末のローカル日時に変換し、元の数値と併記します。
- expは現在時刻と比較し、「あと約○時間」「約○日前に失効」といった残り／超過の目安も表示します。
- ヘッダー・ペイロードそれぞれのコピーボタンで、整形済みJSONをコピーできます。
使い方
- header.payload.signature の形式のJWTを入力欄に貼り付けます。
- 貼り付けた瞬間に自動でデコードされ、ヘッダーとペイロードがJSONで表示されます。署名部分はデコードせず、そのまま表示されます。
- exp・iat・nbfが含まれていれば、下部に変換後の日時が並びます。
- 形式が不正な場合はエラーが表示されます。トークン全体を正しくコピーできているか確認してください。
こんなときに便利
- 認証不具合の調査：401が返るとき、expを確認してトークンが失効していないか、nbfがまだ先の時刻になっていないかを切り分けられます。
- クレームの確認：sub・iss・aud・scope などのクレームが期待どおりに入っているかを、サーバーに問い合わせず手元でチェックできます。
- 発行タイミングの検証：iatとexpの差から、トークンの有効期間が設計どおりかを確認できます。
よくある質問
デコードすれば署名の正しさも確認できますか？
いいえ。このツールは署名検証を一切行いません。署名部分はデコードも検証もせず、そのまま文字列として表示するだけです。「中身が読める＝本物・有効」ではありません。トークンの正当性は、必ずサーバー側でアルゴリズムと鍵を使って検証してください。
デコードは復号（暗号解読）ですか？
違います。ヘッダーとペイロードは暗号化されておらず、Base64URLでエンコードされているだけです。誰でも読めるため、ペイロードにパスワードなどの秘密情報を入れてはいけません。
貼り付けたトークンは外部に送信されますか？
送信されません。デコードはすべてブラウザ内のJavaScriptで完結し、ネットワーク通信は発生しません。ただしJWTは有効なアクセス権そのものを含むことがあるため、本番環境の有効なトークンの取り扱いには十分ご注意ください。
Base64URLの手作業デコードから解放され、認証まわりのデバッグを素早く進めたいときに、ぜひご活用ください。