このツールについて
JWTViewerはアップロードゼロのトークンインスペクターです。多くのオンラインデコーダーはトークンをバックエンドに送信します。有効なJWTは生きたセッション資格情報であることが多く、これは現実的なリスクです。ここではデコードはブラウザのタブ内で直接行われ、ページ読み込み後はオフラインでも動作します。
exp・iat・nbfのタイムスタンプは自動的に現地時間に変換され、ステータスバナーでトークンが有効か、期限切れか、未有効かが一目で分かります。その他の無料ツールはdec0de.devへ。
JSON Web Token はドットで区切られた 3 つの Base64url 部分——header、claim を含む payload、そして signature です。最初の 2 つはエンコードされているだけで暗号化ではないため、誰でも読めます。まさにこのデコーダーが行うことです。信頼にとって重要なのは signature で、鍵を持つ発行者が発行し改ざんされていないことを証明します。iss・sub・aud・exp・iat などの標準 claim はその場で解説され、共有シークレットがあれば HS256 検証で署名を確認できます。
よくある質問
JWT は暗号化されていますか？
いいえ。標準の JWT は Base64url でエンコードされているだけで暗号化されていないため、誰でも header と payload を読めます。payload に秘密を入れないでください。署名は完全性を守るもので、機密性は守りません。
ここで JWT 署名を検証できますか？
はい。HS256 の場合は共有シークレットを入力すると HMAC を再計算します。RS256/RS384/RS512/ES256/ES384/ES512 の場合は、発行者の公開鍵（PEM）を貼り付けるか JWKS を読み込むと、Web Crypto API で検証します — すべてブラウザ内で完結し、どこにも送信されません。
JWKS とは何ですか、ここでどう使いますか？
JWKS（「JSON Web Key Set」）は、ID プロバイダー（Auth0、Okta、Cognito、独自の認証サーバーなど）が RS256/ES256 で署名したトークンを誰でも検証できるように公開する、小さな公開 JSON ドキュメントです（通常 /.well-known/jwks.json のような URL にあります）。JWKS の URL を入力して「取得」をクリックする（または JSON を直接貼り付ける）と、各鍵の ID・アルゴリズム・種類が一覧表示され、デコードしたトークンの header の "kid" に一致する鍵が自動的に選ばれます。
JWT が期限切れと表示されるのはなぜ？
exp claim は Unix タイムスタンプで、現在より前ならトークンは期限切れです。ツールは exp・iat・nbf をローカル時刻に変換するので、いつ失効したか正確に分かります。
トークンはサーバーに送られますか？
いいえ。デコードと HS256 検証はすべてブラウザ内で行われます。トークンとシークレットはアップロードされないため、デバッグ中に本番トークンを貼っても安全です。