JWT作成・確認ツール

使い方

1. ヘッダー（JSON）とペイロード（JSON）を書きます。iatを現在時刻に設定、nbfを現在時刻に設定、expを今からの期間で設定を使うと、時刻を入力できます。
2. アルゴリズムを選び、秘密の鍵を入力します。鍵がBase64で書かれている場合は、鍵の形式でBase64を選んでください。
3. トークンをコピーします。ヘッダー、ペイロード、署名の、ドットで区切られた3つの部分からなります。
4. 確認するトークンにトークンを貼り付けると、その署名が上の鍵と一致するかを確認できます。

JWTの署名の仕組み

JSON Web Token（RFC 7519）は、ヘッダーとペイロードからなり、それぞれJSONとして書かれ、Base64url（RFC 7515）で符号化され、ドットでつながれます。署名は、その2つの部分に対する、秘密の鍵によるHMACです（RFC 7518のセクション3.2）。ヘッダーはalgフィールドにアルゴリズムを書き、このページはそのフィールドを選んだアルゴリズムに設定します。

ページは、各JSONのオブジェクトを符号化する前にコンパクトな形で書くため、署名されるバイト列は、入力した内容の空白や改行を除いたコンパクトな形です。トークンを確認する相手は受け取ったバイト列で作業するため、どちらの形でもトークンは有効です。

署名入力 = BASE64URL(ヘッダー) . BASE64URL(ペイロード)
署名       = HMAC-SHA-256(鍵, 署名入力)
             （HS384とHS512は、HMAC-SHA-384とHMAC-SHA-512を使います）
トークン   = 署名入力 . BASE64URL(署名)

ペイロードの時刻

クレームのiat（発行時刻）、nbf（有効開始時刻）、exp（有効期限）は、NumericDateです。1970年1月1日00:00 UTCからの秒数です（RFC 7519のセクション2と4.1）。トークンは、exp以降と、nbfより前には受け付けられません。ボタンはお使いの端末の時計から時刻を書くため、時計が誤っていると時刻も誤ります。

確認でできること、できないこと

確認は、貼り付けられたヘッダーとペイロードから、HMACを正確に再計算し、署名と比べます。alg noneや、HS256、HS384、HS512以外のアルゴリズムは拒否するため、トークンが弱い確認を選ぶことはできません。

クレームの意味は確認しません。例えば、issが期待する発行者かどうか、audがあなたのサービスを指すかどうかは確認しません。それらは、RFC 8725が推奨するとおり、アプリケーションが確認しなければなりません。

よくある質問