🔣 JWTデコーダー

JWT（JSON Web Token、ジョットと読まれることもあります）は、ログイン認証やAPIアクセスの認可で広く使われる、コンパクトなトークン形式です。サーバーがユーザー情報や有効期限などをまとめて署名し、クライアントはそれを「身分証」のように提示します。Authorization ヘッダーの `Bearer ...` や Cookie に入っている長い文字列が JWT であることはよくあります。

JWT は「ヘッダー」「ペイロード」「署名」の3つの部分を、ドット（.）でつないだ1本の文字列で構成されます（xxxxx.yyyyy.zzzzz の形）。ヘッダーには署名アルゴリズム（alg）やトークン種別（typ）が、ペイロードには中身の主張（クレーム）が入ります。前半2つは Base64URL という方式でエンコードされているだけで暗号化ではないため、鍵がなくても誰でも中身を読めます。本ツールはその「読む」作業を肩代わりします。

このツールは、貼り付けた JWT をドットで3分割し、ヘッダーとペイロードを Base64URL デコード（`-` `_` を標準Base64に戻し、パディングを補ってUTF-8として復元）してから、JSON として読みやすく整形表示します。たとえば `eyJhbGciOiJIUzI1NiJ9` というヘッダーは `{ "alg": "HS256" }` にデコードされます。ペイロードによく入る sub（誰のトークンか）・iss（発行者）・aud（宛先）・exp・iat・nbf などのクレームをそのまま確認できます。

時刻系のクレームは扱いやすく変換します。exp（有効期限）・iat（発行日時）・nbf（この時刻まで無効）は UNIX 時刻（1970年からの秒数）で書かれているため、そのままでは読めません。本ツールは端末のローカル時刻に変換し、元の数値と併記します。exp については現在時刻と比較し、「あと約○時間」または「約○日前に失効」といった相対表現も添えるので、トークンが生きているか失効済みかを一目で判断できます。

重要な注意として、このツールは署名の検証（改ざんチェック）を一切行いません。JWT の署名は、ヘッダーとペイロードが発行者の秘密鍵（または公開鍵）で正しく署名されているかを確かめるためのものですが、本ツールは署名部分をデコードも検証もせず、そのまま文字列として表示するだけです。したがって「中身が読める＝そのトークンが本物・有効」という意味にはなりません。本番でトークンの正当性を判断するときは、必ずサーバー側でアルゴリズムと鍵を使った署名検証を行ってください。

プライバシー面では、デコードはすべてお使いのブラウザ内の JavaScript で完結し、貼り付けた JWT がサーバーや外部に送信されることはありません。ネットワーク通信も発生しません。とはいえ JWT には本人を特定できる情報や、まだ有効なアクセス権そのものが入っていることがあるため、有効な本番トークンの取り扱いには十分ご注意ください。