下にJSON Web Tokenを貼り付けるとヘッダー・ペイロードがデコードされます。
このツールはJWTのヘッダー・ペイロードのみをデコードし、署名の検証は行いません。デコードできたトークンでも期限切れ・改ざん・無効の可能性があります。サーバー側で検証せずにJWTの内容を信用しないでください。
100%ローカル処理 — トークンはブラウザ内だけでデコードされ、どこにも送信されません。
-
-
JWTはドットで区切られた3つのbase64urlエンコード部分からなるURLセーフなトークンです。署名アルゴリズムを示すヘッダー、クレーム(データ)を保持するペイロード、トークンが改ざんされていないか検証する署名で構成されます。このツールはヘッダー・ペイロードを読みやすいJSONに戻してデコードします。
ヘッダー・ペイロードは暗号化ではなくbase64urlエンコードのみなので、秘密鍵なしで誰でもデコードして読むことができます。これは設計上想定された動作です。JWTの署名が防ぐのは改ざんであって内容を読めなくすることではないため、デコーダーだけではトークンが本当に有効かどうかは確認できません。
JWT(JSON Web Token)は、ドットで区切られた3つのbase64url符号化パーツ(header.payload.signature)で構成されています。デコードするには文字列をドットで分割し、ヘッダーとペイロードをbase64urlデコードしてJSONとして解析します。秘密鍵は署名検証にのみ必要で、デコード自体には不要です。iat(発行時刻)・exp(有効期限)はUnixタイムスタンプで、人が読める日付に変換されます。
| クレーム | 意味 |
|---|---|
| iss | 発行者 — トークンを作成し署名した主体 |
| sub | 主体 — トークンが指し示す対象(例: ユーザーID) |
| aud | 受信者 — トークンの想定される受け取り手 |
| iat | 発行時刻 — トークンが作成された時点(Unixタイムスタンプ) |
| exp | 有効期限 — トークンが無効になる時点(Unixタイムスタンプ) |
いいえ。デコードはヘッダーとペイロードの中身を表示するだけで、署名が本物かどうか・改ざんされていないかどうかは何も示しません。トークンが本物であることを確認するには、正しい鍵で署名を検証する必要があります。
ヘッダーとペイロードは暗号化ではなくbase64urlエンコードされているだけなので、デコードは元に戻せる単なるテキスト変換で、セキュリティの壁にはなりません。この理由から、機密情報をJWTペイロードに入れてはいけません。
expの値が過去のJWTは、チェックするシステムでは一般的に期限切れとみなされ拒否されるべきですが、このデコーダーは日付を表示するだけで、現在時刻との比較や拒否は行いません。その判断はサーバー側の責任です。
多くの場合、貼り付けたテキストが完全な形式のJWTになっていないことが原因です。区切りが欠けている、base64urlが不正、デコード結果が有効なJSONでないなどが考えられます。余分な空白や改行なしでトークン全体をコピーできているか確認してください。
このツールはヘッダーとペイロードのみをデコードして表示し、署名の検証や有効期限の比較は行いません。デコードに成功しても、検証済みの信頼できるトークンとは限りません。
Sources: RFC 7519 (JSON Web Token)
最終更新: 2026-08-17