JWTデコーダー

JWT（JSON Web Token）は、ドット（.）で区切られた3つの部分——ヘッダー・ペイロード・署名——からなるトークンです。ヘッダーには署名アルゴリズム（alg）とトークン種別（typ）が入り、ペイロードにはユーザー ID や権限、発行時刻（iat）、有効期限（exp）といったクレームが入ります。前2つは Base64URL でエンコードされているだけなので、鍵がなくても中身を読めます。

このツールにトークンを貼り付けると、ヘッダーとペイロードが整形された JSON として表示され、署名部分もそのまま確認できます。ペイロードに exp が含まれている場合は、その時刻を読み取って「有効」か「期限切れ」かを判定して表示します。API が 401 を返すときに、トークンが失効しているのか、そもそもクレームが想定と違うのかを切り分けるのに役立ちます。

ここで行うのはデコードだけで、署名の検証は行いません。署名の正当性を確かめるには秘密鍵または公開鍵が必要で、それはサーバー側の責務だからです。逆に言えば、ペイロードが読めること自体は JWT の仕様どおりであり、機密情報を JWT に入れてはいけない理由でもあります。デコードはブラウザ内で完結し、貼り付けたトークンは送信されません。