JWT デコーダーとは？
JWTデコーダーはJSON Web Tokenを3つのBase64URL部分に分け、ヘッダー、ペイロードのクレーム、署名を読めるようにします。ToolsMinifyの無料JWTデコーダーはブラウザ内でJSONを整形表示し、Decodeでは署名を検証しません。同じページのEncodeタブはWeb CryptoでコンパクトなHS256テストトークンに署名 - シークレットは端末外に出ません。貼り付けた内容はアップロードされません。
ブラウザで JWT ヘッダー、ペイロード、署名をデコード。同ページで HS256 テストトークンをエンコード。無料 JSON Web Token デコーダー - アップロードなし。
今すぐ試す
無料のJWT デコーダーを開き、以下の手順に従ってください。ダウンロードは不要です。
JWT デコーダーを使う理由
- ヘッダー、ペイロード、署名を1画面で確認
- セクションごとにコピーボタン付き整形JSON
- 任意のBearerプレフィックスを自動除去
- 構造、Base64URL、JSONの誤りを明確に表示
- Encodeタブでブラウザ内HS256署名 - 別URL不要
- iat/exp用NumericDateチップと32バイトシークレットの注意
- Decodeは検証せずクライアント側 - トークンは端末に留まります
JWT デコーダーの使い方 - ステップバイステップ
- ステップ1: 既定は Decode タブ。JWT を貼る。Bearer プレフィックスは任意で自動除去。
- ステップ2: ヘッダーとペイロードが整形 JSON で表示。時間クレーム（iat, exp, nbf）は Unix 秒と UTC/ローカル時刻。署名は生の第 3 セグメント。
- ステップ3: Encode に切り替えてテストトークン署名。ヘッダー JSON は alg HS256 で事前入力。ペイロード編集、任意で iat/exp の NumericDate チップ、秘密入力して署名。
- ステップ4: トークンをコピー、または Decode に送って実際に署名されたコンパクト JSON を確認。不正入力は構造/エンコード/JSON のどこが問題か短いエラーで説明。
JWT デコーダーは開発者ツールにあります。ツールページを開き、メインフィールドにインプットを入力すると、結果が即座に更新されます。コピーボタンを使用して、出力結果をドキュメント、コードエディタ、またはスプレッドシートに貼り付けてください。
一般的な使用例
API Bearerトークンのデバッグ
Authorizationヘッダーのトークンを貼り、第三者デバッガーに送らずalg、typ、sub、expなどのクレームを確認します。
有効期限・発行時刻クレームの確認
unauthorizedで拒否されたときペイロードのiatとexpを読み、実際の検証はサーバー側であることを確認します。
JWT構造の学習
header.payload.signatureがJSONオブジェクトとBase64URL署名にどう対応するか、第3セグメント空の unsecured トークンも含めて確認します。
HS256テストトークンの作成
EncodeでPostmanやローカルAPI向けコンパクトHS256 JWTに署名。NumericDateチップでUnix時刻を調べずiat/expを設定し、Decodeで署名されたコンパクトJSONを確認します。
例
- 標準 3 部分 JWT: header.payload.signature は JSON ヘッダー（alg, typ）、JSON ペイロード（sub, iat, exp 等）、Base64URL 署名にデコード。
- Authorization ヘッダー: Bearer eyJ... を貼る - ツールは Bearer を除去してデコード。
- 非セキュア JWT（alg none）: 第 3 セグメントが空でもデコード可能。署名フィールドは空白 - Decode も検証しません。
- HS256 テストトークン: Encode で HS256 ヘッダー、ペイロードクレーム、開発専用秘密で署名。Postman 用または Decode へ送れる 3 部分 JWT。
プロのヒント
- Decodeタブは署名を検証しません。誰でもヘッダーとペイロードを偽造できます。
- 管理していないオンラインデコーダーに本番シークレットやライブセッショントークンを貼らないでください - このツールはブラウザ内ですが、習慣は重要です。
- 有効なJWTは正確に3部分です。unsecuredトークンで末尾のドットが欠けると失敗します。
- expとiatは秒単位のUnixタイムスタンプ。このページはUTCとローカル時刻を表示し、Unix Timestamp Converterはワンクリック先です。
- EncodeはalgをHS256に固定しJSONをコンパクトに直列化。jwt.ioの整形空白は署名を変えます - このエンコーダーはjsonwebtoken形式のコンパクト出力に一致します。
- HS256シークレットはUTF-8で少なくとも32バイト。HMAC学習にはHash Generatorと併用し、サーバー検証の代替にしないでください。
よくある質問
JWT とは？
JSON Web Token はドット区切り 3 部分: ヘッダー、クレームのペイロード、署名。API は bearer トークンとして JWT を使用。Decode は読み取り、Encode はテスト用 HS256 署名トークンを構築。
署名を検証しますか？
いいえ。Decode タブは検証しません。検証には秘密または公開鍵が必要で、信頼できるサーバーで行う必要があります。デコードはトークンが主張する内容を示すだけで、誰でも偽造可能。
JWT をエンコード/署名できますか？
はい、同ページの Encode タブ - 別 jwt-encoder URL 不要。Web Crypto で HMAC-SHA256（HS256）署名。使い捨てテスト秘密を使用し、本番鍵は使わない。
HS256 のみで RS256 はなぜ？
HS256 は共有秘密の HMAC で、秘密鍵をアップロードせず Web Crypto API で動作。RSA/ECDSA は鍵ペアが必要でサーバー向け。このページは alg を HS256 に固定し、ヘッダーが RS256 なのに HMAC バイトという不一致を防ぐ。メッセージ+秘密の生 HMAC 16 進は Hash Generator の HMAC モード。
トークンや秘密はサーバーに送られますか？
いいえ。Decode と Encode はブラウザ内のみ。貼り付け内容はアップロード、ログ、保存されません。
エラーが出るのはなぜ？
有効 JWT は正確に 3 部分。ヘッダー/ペイロードは Base64URL エンコード JSON。余分なドット、欠落、破損エンコードは分かりやすいエラー。Encode は無効なヘッダー/ペイロード JSON と空秘密も拒否。
exp、sub、role クレームを信頼できますか？
単体ではいいえ。誰でも任意クレームのトークンを作れます。Decode はデバッグ用。署名検証はバックエンドで。
Base64URL とは？
Base64URL は + / を - _ に置換し、パディングを省略することが多い Base64。JWT ヘッダー/ペイロードは URL 安全のためこのエンコーディング。
JWT の exp/iat Unix タイムスタンプを日付に？
JWT ペイロードで iat は発行時、exp は失効時の Unix 時間。このページはそれらの UTC/ローカル時計を表示。数値は Unix Timestamp Converter にもコピー可能: https://www.toolsminify.com/converter-tools/timestamp-converter。
必要な関連ツール
ToolsMinifyで他の開発者ツールを探索してください。関連ユーティリティはJWT デコーダーページにリンクされており、サイトを離れることなくワークフローを完了するのに役立ちます。
始める準備はできましたか？
JWT デコーダーを無料で利用できます - 正確、高速、モバイル向けに最適化されています。