ここで実行 100% ブラウザ内で動作します。アップロードもログインも不要です。

JWT Decoder

ローカルで JWT のヘッダーとペイロードをデコードし、exp と iat を読みやすい日付に変換します。署名の検証は行いません。

ヘッダー

—

ペイロード

—

署名（未検証——デコードのみ）

警告：デコードではトークンを 検証しません 。信頼できない情報源からのペイロードの主張は、サーバー側で署名を検証しないまま信用しないでください。

使い方

JWT 全体をそのまま貼り込みます（header.payload.signature の形式）。
ヘッダーとペイロードが整形された JSON として解析され、exp と iat は読みやすい時刻で表示されます。
exp が失効済みなら、このページはそのトークンをすでに無効だと明示して警告します。
各ブロックをクリックすると、その部分だけをコピーできます。

よくある用途

認証の失敗を調べる —— まず exp が切れていないかを確認し、次に aud / iss が合っているかを見ます。
サードパーティの SDK のトークンを読む —— そのトークンに何が含まれているのか想知道なときに使えます。
権限の宣言を確認する —— scope や roles フィールドが一目で読み取れます。

よくある質問

Q: このツールは署名を検証しますか？ A: いいえ。しかも署名は検証できません。署名には対象サービスの鍵が必要ですが、ブラウザ内にその鍵はありません。誰でもペイロードが合法に見えるトークンを偽造できるため、トークン内の宣言を信用してはいけません。常にサーバー側の検証結果を優先してください。

Q: なぜ「デコードは検証ではない」と強調するのですか？ A: Base64URL はエンコードにすぎないからです。攻撃者はペイロードを自由に書き換えて 3 つのセグメントに組み立て直せます。中央のセグメントは依然として正当な JSON になります。

Q: 貼り付けたトークンは保存されますか？ A: いいえ。解析はローカルで完了し、ページを再読み込みすれば消えます。

データはこのデバイス内にとどまります

JWT Decoder は 100% ローカルで動作します。貼り付けたり、ドロップしたデータはすべてお使いのブラウザ内で処理され、送信されることはありません。当社のサーバーには何も保存されません——タブを閉じればすべて消えます。

入力された内容がサーバーへ送信・記録・解析利用されることはありません。初回読み込み後はネットワークを切断していてもこのページは動作します。