JWTデコーダー

使い方

1. トークンをJWTに貼り付けます。ドットで区切られた3つの部分があります。
2. 署名アルゴリズムを読み、トークンが自分をどう署名したと示しているかを確認します。
3. 有効期限を確認します。緑なら、お使いの端末の時刻でトークンはまだ有効です。
4. クレームとペイロードを読み、トークンが誰のもので、何が含まれているかを確かめます。

JWTに含まれるもの

JSON Web Tokenは、ドットで区切られた3つの部分からなります。最初の2つはBase64urlで符号化されたJSONのオブジェクトです。ヘッダーは署名の方法を示し、ペイロードはクレームを持ちます。クレームは、誰のためのトークンか、いつ期限切れになるかといった記述です。3つ目の部分が署名です。

RFC 7519は、登録済みのクレーム名を7つ定めています：iss、sub、aud、exp、nbf、iat、jti。表は各クレームを説明し、3つの時刻のクレームは、お使いの言語の日付としても示します。

デコードは検証ではない

このページはトークンをデコードするだけです。署名は確認しません。署名の確認には、トークンの署名に使われた鍵が必要で、検証用の鍵は秘密だからです。デコードされたトークンも偽造できるため、ここで読めたというだけでクレームを信用しないでください。

トークンを検証するには、サーバーやライブラリが、正しい鍵と想定するアルゴリズムで署名を確認し、署名が誤っているトークンを拒否しなければなりません。

期限の読み方

expクレームは、1970年1月1日00:00 UTCからの秒数です。RFC 7519のセクション4.1.4は、その時刻以降のトークンを受け付けてはならないと定めているため、ちょうどその時刻で、すでに期限切れとみなされます。

expクレームのないトークンは期限切れになりません。このページはそれを赤で示します。期限切れにならないトークンは、知っておくべきリスクだからです。

よくある質問