JSON Web Token デコーダー・検証
3 つの base64url セグメント、本物かそうでないかのどちらかである署名、そして今この瞬間を含むか含まないかの有効期間。このツールはその 3 つにオフラインで答え、答えが「いいえ」のときは正確な理由を示します。
鍵はこのタブ内でブラウザーの暗号機能が使うだけで、どこにも送信されません。
使い方
トークンを貼る
貼り付けるか、ファイルをドロップ。ログの 1 行でも構いません。トークンを抜き出し、分割・デコードし、形式の不備をその場で点検します。
鍵を入力
共有シークレット（テキスト・base64・16 進）、PEM 公開鍵、JWK、あるいは JWKS 全体。トークンの kid に合う項目を自動で選びます。
検証する
ボタンを押すだけ。計算はブラウザー自身の暗号が行います。結果は「有効」「無効」、あるいは鍵が使えなかった正確な理由です。曖昧な返事はしません。
さらに先へ
サービスの期待値に照らしてクレームを検証し、ビルダーで新しいトークンに署名し、あるいはペイロードをスイートの別ツールへ渡せます。
署名を実際に検証
HS256/384/512、RS、PS、ES（P-521 の ES512 を含む）を、ブラウザー自身の Web Crypto で検証します。サーバーもライブラリもアップロードも不要。
クレームは表示だけでなく判定
設定した時計のずれを踏まえた exp・nbf・iat に加え、サービスが期待する発行者・対象者・サブジェクト。各検証は合格・不合格・対象外のいずれかを明示します。
目に見える有効期間
カウントダウンは数えるべき期限があるときだけ動き、バーは nbf と exp のあいだで今がどこかを示します。
読むだけでなく署名も
ヘッダーとペイロードを編集し、アルゴリズムを選んで署名。結果はそのまま解析タブで開き、作ったものを自分で検証できます。
あらゆる鍵の形式
テキスト・base64・16 進のシークレット、PEM 公開鍵、単一の JWK、あるいは JWKS 全体（kid に合う項目を自動選択）。
攻撃をはっきり名指し
alg: none、空の署名、正しい JSON だがオブジェクトでないペイロード、URL を通ってきた base64 — それぞれをそのものとして報告します。
アップロードなし
トークンも鍵もこのタブの暗号機能が使うだけで、閉じれば消えます。送る先のサーバーが存在しません。
スイートの他ツールへ受け渡し
クレームをそのまま JSONFlow、DiffSnap、Base64Bolt、Hash Bolt へ。ダウンロードも再アップロードも不要です。
「いいえ」と言えるデコーダー
トークンを貼れば読めます。鍵を足せば証明できます。ブラウザー自身の暗号による本物の署名検証、サービスの期待値に対するクレーム検証、そして署名し直せるビルダー。
暗号はブラウザーにすでにありました
Web Crypto は HMAC、RSASSA-PKCS1-v1_5、RSA-PSS、ECDSA の完全な実装で、すべてのブラウザーに無償で入っています。デコード、検証、クレーム確認、署名はすべてこれを通し、このタブの中で、どこへのリクエストもなく行われます。
デモではなく実際のデバッグのために
午後 3 時に出てくる問いに答えます。この 401 はトークンの期限切れか、それともゲートウェイの鍵違いか。クライアントは API が期待する aud を送ったか。あの kid はまだ JWKS にあるか。トークンと鍵セットを貼れば、理由つきの答えが返ります。単に無効なだけでなく壊れているトークンについても。
JWT はたいてい身元を運び、署名シークレットはそれを鋳造するものです。ここではどちらもどこにも送りません。このツールにサーバー側はなく、アカウントも、貼り付けた内容の分析もありません。タブを閉じれば両方消えます。存在した場所はこのタブのメモリーだけだからです。
よくある質問
Qトークンや鍵はどこかにアップロードされますか？+
いいえ。デコード、署名検証、署名はすべて Web Crypto API を通じてブラウザー内で実行されます。送信先となるサーバー側は存在せず、訪問をまたいで保存されるものもありません。
Q本当に署名を検証できますか？+
できます。それがこの版の主眼です。HS256/384/512 なら共有シークレットを、RS・PS・ES なら PEM 公開鍵、JWK、JWKS を貼り付けてください。計算はブラウザーが行い、結果は「有効」「無効」、または鍵が使えなかった理由の명示です。
Q対応しているアルゴリズムは？+
HS256、HS384、HS512、RS256、RS384、RS512、PS256、PS384、PS512、ES256、ES384、ES512。ブラウザーが Ed25519 を備えていれば EdDSA も。ES512 は仕様どおり P-521 を使います。
Qalg: none の場合はどうなりますか？+
未署名トークンとして警告し、検証は常に拒否します。署名のないトークンはまさにこの検査が想定する攻撃なので、緑のチェックが付くことはありません。
Q読むだけでなくトークンを作れますか？+
はい。作成タブでヘッダーとペイロードを編集し、アルゴリズムを選び、その場でシークレットや RSA/EC 鍵ペアを生成して署名できます。結果はそのまま解析タブで開き、自分で検証できます。
Qクレーム検証は何をしますか？+
検証側が要求するであろう条件と突き合わせます。設定した時計のずれを踏まえた exp・nbf・iat、任意の最大経過時間、そしてサービスが期待する発行者・対象者・サブジェクト。各行は合格・不合格、または指定していなければ対象外になります。