コンテンツへスキップ
uencoder

JWT デコーダー

Decode and inspect JWT header, payload, and time claims with expiry status。無料、プライベート、100%クライアントサイド。

例を試す:
ローカルデコードはサーバー側の署名検証ではありません。Local only

最近の履歴

履歴はまだありません

使い方

  1. Paste the JWT into the input box.
  2. Read the decoded header and payload.
  3. 確認 the time-claim status and expiry note.

このツールを使うタスク

JWT を安全にデコードして検査する
JSON Web Token を貼り付けてヘッダーとクレームを読み取り、有効期限を確認します。デコードで証明できること・できないことを正確に理解しましょう。
タスク
JWT トークンを検査する:検証なしでヘッダーとペイロードをデコード
JSON Web Token の構造を読み取り、アルゴリズム、クレーム、有効期限を確認します。純粋にクライアント側のみの処理で、サーバー検証は行いません。
タスク
OAuth 2.0 のトークンレスポンスをパースする
OAuth 2.0 は access_token、token_type、expires_in、そして任意で refresh_token を返します。トークンレスポンスを正しくパースして使う方法を学びましょう。
タスク
HTTP Basic 認証を使う
Basic 認証は、Base64 エンコードした username:password を Authorization ヘッダーで送ります。形式、セキュリティ上の要件、代替手段を学びましょう。
タスク
API 認証に Bearer トークンを使う
Bearer トークンは Authorization ヘッダーで「Bearer <token>」の形式で送ります。トークンを持つ者は誰でも API にアクセスできるため、パスワード同様に厳重に保護しましょう。
タスク
RSA 署名の JWT(RS256)を使う
RS256 は RSA-SHA256 で JWT に署名します。秘密鍵の保持者だけが署名でき、公開鍵を持つ誰でも検証できる非対称な方式です。
タスク

このツールを使うパイプライン

JWT デコードとペイロード検査
パイプライン

よくある質問

Does decoding a JWT verify its signature?
No. Decoding only reads the payload. Signature verification requires the secret or public key and is not the same as trusting the token. Always verify server-side before trusting claims.
How is expiry shown?
The tool parses the exp, iat, and nbf claims and labels the token as EXPIRED, NOT YET VALID, or VALID (time claims). Timestamps are shown in ISO and local format.
What JWT formats are accepted?
Standard compact JWTs with three Base64URL segments separated by dots: header.payload.signature. JWE (encrypted) tokens are not supported.
Why does the payload show unexpected claims?
JWT payloads are Base64URL-decoded then JSON-parsed. If the issuer used custom claim names, they appear as-is. Registered claims (iss, sub, aud, exp, iat, nbf, jti) are not renamed.
Is my JWT uploaded anywhere?
No. Decoding happens entirely in your browser. However, JWTs often carry sensitive data — avoid pasting production tokens into any online tool you do not fully trust.
What does 'Note: Local decoding is not server-side signature verification' mean?
It reminds you that anyone can decode a JWT without the secret. Trusting claims requires verifying the signature with the issuer's secret or public key on a trusted server.

関連ツール

JWT エンコーダー
エンコード JWT with HS256. Free, private, 100% client-side. Not for server-side verification.
ツール
HMAC ジェネレーター
Generate HMAC (Keyed-Hash Message Authentication Code) with SHA-1/256/512。無料、プライベート、100%クライアントサイド。
ツール
Base64 デコーダー
Decode Base64 data back to readable text online。無料、プライベート、100%クライアントサイド。
ツール
ハッシュ計算ツール
Compute MD5, SHA-1, SHA-256, or SHA-512 hashes with hex or Base64 output。無料、プライベート、100%クライアントサイド。
ツール
JSON フォーマッター
Format, minify, or sort JSON online。無料、プライベート、100%クライアントサイド。
ツール