JWT デコーダー
JWT をオンラインでデコード:header と payload のクレームを確認し、exp・iat を人が読める時刻で表示。検証はせず、アップロードもありません。
このツールは完全にブラウザ内で動作します。データは端末から出ず、サーバーへアップロードされることはありません。
使い方
- 1JWT(ドット区切りの 3 部分)を入力欄に貼り付けます。
- 2整形された header と payload を読み、exp/iat を実際の日時で確認します。
- 3トークンやサーバー側の検証を修正します。必要なら payload をコピーします。
JWT デコーダー
JSON Web Token を貼り付けると、3 つの部分が即座に分かれます:header(アルゴリズムとタイプ)、payload(実際のクレーム)、署名。両方の JSON は整形表示され、iat・nbf・exp といったタイムスタンプはロケールに応じた日時に変換され、exp は期限切れか有効かも示します。
デコードはすべて Base64URL でローカルに行われます。トークンはどこにも送信されず、検証もされません。重要:デコードはトークンが何を「主張」しているかを示すだけで、何が「許可」されているかは示しません。署名検証には必ず秘密鍵または公開鍵と信頼できるシステムが必要です。
よくある質問
JWT のデコードは検証になりますか?
なりません。デコードは Base64URL と JSON パースだけです。攻撃者にもできます。デコードできても何も証明されません。検証には HMAC の秘密鍵や RSA/EC の公開鍵で署名を確認する必要があり、鍵は発行者だけが持っています。
クレームを復元・改ざんできますか?
クレームは読めますが、署名を無効化せずに改ざんした新しいトークンを作ることはできません。header や payload の変更はすべてサーバー側の署名検証を失敗させます。
本物のトークンを貼っても安全ですか?
トークンは完全にブラウザ内でデコードされ、端末の外には出ません。アップロードはありません。それでもトークンは認証情報です。必要のない場所に本番トークンを貼るのは避けてください。
関連ツール
Base64 デコーダー
Base64 を UTF-8 を正しく扱って読めるテキストへ復元。data URI・API ペイロード・エンコード済み設定値が瞬時に分かります。
すべてのツール →
ハッシュ生成器
テキストやファイルの SHA-1・SHA-256・SHA-384・SHA-512・MD5 ハッシュをブラウザ内で計算。整合性チェックに素早く、アップロードは一切なし。
すべてのツール →
SHA-256 ジェネレーター
ネイティブ WebCrypto でテキストやファイルの SHA-256 をオンライン計算 — 整合性チェックとフィンガープリントの標準。100% ブラウザ内処理です。
すべてのツール →
JSON フォーマッター
乱れた JSON をオンラインで整形 — 2 スペース・4 スペース・タブに対応し、即時検証と正確なエラー位置表示。すべてブラウザ内で完結します。
すべてのツール →
ツールを埋め込む
1 行であなたのサイトにツールを。訪問者のブラウザ内で動きます。
<iframe src="https://zoyku.com/ja/tools/jwt-decoder?embed=1" width="100%" height="640" style="border:0;border-radius:16px" title="Zoyku — jwt-decoder" loading="lazy"></iframe>