JWTエンコーダー＆デコーダー：JSON Web Token を瞬時に解析・生成

JSON Web Token (JWT) とは？

JWTは、送信者と受信者間で情報を安全にやり取りするための、RFC 7519で定義されたオープン標準です。ステートレスな認証に非常に有用であり、クライアント情報をサーバーのデータベースで毎度照会する手間を省くことができます。

一般的なJWTは「ドット ( . )」で区切られた3つのBase64url文字列のブロックで構成されます:

ペイロードの中身を第三者から隠したい場合は、JWTではなく暗号化プロトコルである JWE (JSON Web Encryption) の利用を検討してください。

ツールの使い方

1. ご利用のAPI、または開発者ツールからJWTを取得します
2. ページ上部のテキストエリアに文字列を直接貼り付けます
3. 自動的に解析され、ペイロードがJSON形式として表示されます
4. トークンの有効／無効状態が時間ステータスで表示されます
5. 問題がないかセキュリティ監査を確認してください
6. 詳細なクレーム（Claims）一覧を解析します
7. 検証用のバックエンドソースコードをコピーして活用します

サーバーセッション vs JWT : どう使い分けるか？

JWTが適切なケース: APIサーバーの負荷を下げたい場合や、独立した複数のシステムでパスを共用したい場合。

セッションが適切なケース: 強制的なアカウントロックや高頻度な権限更新が生じる金融系システムなど。

署名アルゴリズム (RS256 vs HS256)

原則 RS256 以上の非対称暗号を推奨します。秘密鍵を認証サーバーだけが保持し、他のシステムは公開鍵で検証のみを行う構成が理想的です。

JWT 運用における最重要ベストプラクティス (2026年版)

• JWTの電子署名を受信するバックエンドは、常に信頼できるライブラリで独自に検証を行ってください。
• トークンの「有効期限(exp)」は15〜30分程度の非常に短い時間に設定します。
• ペイロードはBase64でエンコードされているだけです。個人情報や機密データは絶対に含めないでください。
• JWTの転送には、必ずHTTPS / TLS化されたセキュアなネットワークを利用してください。
• ブラウザにトークンを保存する場合は、LocalStorageではなく「httpOnly属性」付きのCookieを使用し、XSS攻撃を軽減してください。
• アクセストークンと、より長寿命なリフレッシュトークンを組み合わせてセッションを管理してください。
• 他システムへの流用を防ぐため、必ず「対象者(aud)」と「発行者(iss)」が自システムのものか検証してください。
• アルゴリズムが「none」のJWTは検証システム内で無条件にブロックしてください。
• 万が一に備え、被害を食い止めるためのトークン無効化リスト(Denylist)をバックエンドに構築してください。

バックエンドへ導入するための検証コードスニペット

ご自身の開発環境へ組み込んで活用してください。

// Decode without verification (read-only, same as this tool)
function decodeJWT(token) {
  const [header, payload] = token.split('.');
  const decode = str => JSON.parse(atob(str.replace(/-/g, '+').replace(/_/g, '/')));
  return { header: decode(header), payload: decode(payload) };
}

const { header, payload } = decodeJWT(yourToken);
console.log(payload.exp); // expiry timestamp

import base64, json

def decode_jwt_payload(token):
    payload = token.split('.')[1]
    # Add padding
    payload += '=' * (4 - len(payload) % 4)
    return json.loads(base64.urlsafe_b64decode(payload))

claims = decode_jwt_payload(your_token)
print(claims['exp'])  # expiry timestamp

import (
    "encoding/base64"
    "encoding/json"
    "strings"
)

func decodeJWTPayload(token string) (map[string]interface{}, error) {
    parts := strings.Split(token, ".")
    payload, _ := base64.RawURLEncoding.DecodeString(parts[1])
    var claims map[string]interface{}
    json.Unmarshal(payload, &claims)
    return claims, nil
}

JWTの真の存在意義

JWTの最大の強みは「ステートレス」である事実です。データベースへの問い合わせを行わずとも情報を信頼できるため、大規模に分散された最新のAPIゲートウェイには欠かせない技術です。