JWT デコーダー & 検証ツール

RFC 7519 / 7518 · 完全にブラウザ内で実行

検証される内容

ヘッダとペイロードをデコードしたあと、本ページはあなたが提供する鍵に対して署名を検証します。署名は base64url(header)+"."+base64url(payload) の正確なバイトを対象に計算され、ヘッダで宣言されたアルゴリズムを用いて第 3 セグメントと比較されます。

This page handles every standard JWT signing family:

• HS256/HS384/HS512 — 共有秘密で検証する対称(HMAC)署名。
• RS256/RS384/RS512 — 発行者の RSA 公開鍵(PEM SPKI)で検証する RSA-PKCS#1 v1.5 署名。
• PS256/PS384/PS512 — 同形式の RSA 公開鍵で検証する RSA-PSS 署名。
• ES256/ES384/ES512 — P-256 / P-384 / P-521 上の ECDSA 署名、対応する EC 公開鍵で検証。

時間クレーム

3 つの標準的な時間関連クレームが自動的に解釈されます:

• iat(発行時刻) — トークンが鋳造された時刻。
• nbf(有効開始時刻) — トークンが有効になる最も早い時刻。
• exp(失効時刻) — トークンが有効である最も遅い時刻。

よくあるユースケース

• 不透明な <code>Authorization: Bearer …</code> トークンをデコードし、クライアントが送っているか、サーバーが受け取っているクレームを正確に確認する。
• クレームを信頼する前に、OIDC ID トークンの署名を発行者の公開鍵に対して確認する。
• 内部サービスの JWT が期待された共有秘密で署名されているか確認する。
• 失効するはずのトークンが実際に拒否されることを検証する — ここに貼り付けて、ライブの <code>exp</code> カウントダウンと比較する。

プライバシー

貼り付けたトークン・秘密・鍵はあなたのブラウザでのみ処理されます。ネットワーク往復はなく、検証鍵はページが開いている間だけメモリに保持され、どこにも保存・記録されません。