ForHosting KIT · 開発者向けツール

JWTの中身、確認せずに使っていませんか

JWTを貼り付けると中身を読めます。HS256で署名された例のトークンでは、サブジェクト、名前、2020年9月13日の有効期限が分かり、期限切れと表示されます。デコードでは署名を確かめません。ブラウザで無料で使えます。

無料
ブラウザで動作
登録不要
データは端末の外に出ません

ご利用方法ウェブAPIメールTelegramアプリ近日

署名の検証は行わないため、開発中のトークンの中身をすぐに確認したいときに向いています。

読めることと信頼できることは別

JWTは、毎回中央のセッション保管庫に問い合わせずに、システム間で情報を受け渡すための小さな形式です。ヘッダーとクレームは符号化されているだけで暗号化されていないため、貼り付ければどのデコーダーでもすぐに読めます。この手軽さが落とし穴でもあります。きれいに読めるトークンでも、期限が切れていたり、別の発行元のものだったり、受け入れるつもりのない方式で署名されていたりします。中身を知るのがデコード、信じてよいかを決めるのは正しい鍵による署名の確認です。

デコード結果で分かること

署名方式と種類を示すヘッダーと、サブジェクト、名前、発行時刻、有効期限などのクレームが表示されます。HS256で署名された例のトークンは1600000000に期限を迎え、ツールはこれを2020年9月13日12時26分（UTC）と表示し、期限切れと示します。ログインを拒否された問い合わせの調査や、公開前に対象者・発行者・役割が正しいかの確認、ログからの利用者IDの取り出しにすぐ使えます。

活用例

開発中のトークン確認

山本翔太さんは、実装中の認証機能で発行したJWTの中身を貼り付けて確認し、想定したクレームが正しく入っているかをすぐに見ています。

有効期限の確認

合同会社みどりデザインの開発者は、届いたエラーの原因を調べる際に、対象のJWTをデコードして有効期限（exp）が切れていないかを確認しています。

サポート対応での中身確認

鈴木美咲さんは、利用者から共有されたトークンの中身を素早く確認し、権限や発行者の設定に問題がないかを調べるために使っています。

よくある質問

貼り付けたトークンはサーバーに送信されますか？

貼り付けた内容がサーバーに送られることはありません。デコードはブラウザの中だけで完結します。

なぜ無料で使えるのですか？

デコードは処理として軽く、ブラウザの中で完結するためコストがほとんどかかりません。

日本語のサポートはありますか？

申し訳ありませんが、日本語でのサポートは行っておりません。サポートは英語またはスペイン語で、担当者が直接対応します。ツール自体は日本語の環境でも問題なくご利用いただけます。

暗号化されたJWTも読めますか？

JWE（暗号化されたトークン）には対応していません。対象は署名付きの一般的なJWT（JWS）です。

デコードできればJWTは本物だと言えますか？

言えません。トークンは符号化されているだけで暗号化されていないため、誰でも中身を読めます。問題なく読めても、期限切れや発行元の誤り、想定外の署名方式の可能性があります。

開発者向け — APIアクセス

このページの機能はすべてAPIからも利用できます。自社システムに組み込みたいチーム向けのセクションです。それ以外の方は上のツールをそのままお使いください。

エンドポイント

POSThttps://api.kit.forhosting.com/dev/jwt-decode

Bearerトークンで認証し、POST1回でタスクをキューに登録します。結果はWebhookまたは署名付きリンクで受け取れます。

お使いのスタックから呼び出す

curl -X POST https://api.kit.forhosting.com/dev/jwt-decode \
  -H "Authorization: Bearer $KIT_KEY" \
  -H "Content-Type: application/json" \
  -d '{"token":"eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxIn0.c2ln"}'

const res = await fetch("https://api.kit.forhosting.com/dev/jwt-decode", {
  method: "POST",
  headers: {
    "Authorization": `Bearer ${process.env.KIT_KEY}`,
    "Content-Type": "application/json"
  },
  body: JSON.stringify({
    "token": "eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxIn0.c2ln"
  })
});
const { task_id } = await res.json();

import os, requests

res = requests.post(
    "https://api.kit.forhosting.com/dev/jwt-decode",
    headers={"Authorization": f"Bearer {os.environ['KIT_KEY']}"},
    json={
    "token": "eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxIn0.c2ln"
},
)
task_id = res.json()["task_id"]

<?php
$res = file_get_contents("https://api.kit.forhosting.com/dev/jwt-decode", false, stream_context_create([
  "http" => [
    "method"  => "POST",
    "header"  => "Authorization: Bearer " . getenv("KIT_KEY") . "\r\nContent-Type: application/json",
    "content" => '{"token":"eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxIn0.c2ln"}',
  ],
]));
$task = json_decode($res, true);

body := bytes.NewBufferString(`{"token":"eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxIn0.c2ln"}`)
req, _ := http.NewRequest("POST", "https://api.kit.forhosting.com/dev/jwt-decode", body)
req.Header.Set("Authorization", "Bearer "+os.Getenv("KIT_KEY"))
req.Header.Set("Content-Type", "application/json")
res, _ := http.DefaultClient.Do(req)

リクエスト例

{
  "token": "eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxIn0.c2ln"
}

レスポンス例

{
  "task_id": "tsk_a1b2c3d4e5f6a1b2c3d4e5f6",
  "type": "dev.jwt_decode",
  "status": "queued",
  "_links": {
    "result": "/tasks/tsk_…/result"
  }
}

非同期APIです。task_idは即時に返ります。ポーリングは1秒あたり1リクエストまでです。

料金

1リクエストあたり$0.002

単価はすべて公開しています。トークン換算や独自クレジットはありません。失敗したタスクは課金されません。

エラー

HTTP	コード	意味
`401`	`unauthorized`	APIキーが無効か、指定されていません。Authorizationヘッダーを確認してください。
`402`	`insufficient_balance`	残高が不足しています。チャージ後に再度お試しください。
`404`	`unknown_type`	指定されたタスクタイプは存在しません。タイプ名を確認してください。
`429`	`rate_limited`	リクエストが多すぎます。しばらく待ってから再度お試しください。

技術的な注記

JWT（JSON Web Token）を貼り付けると、ヘッダーとペイロードの中身をそのまま読める形で表示するツールです。

JWTの構造

JWTはヘッダー・ペイロード・署名の3つをドットでつないだ文字列です。ヘッダーとペイロードはBase64URLで符号化されているだけで、暗号化はされていません。

このツールでわかること

有効期限（exp）や発行者（iss）などのクレームも、そのまま読み取れます。トークンを貼り付けると、ヘッダーとペイロードをJSONの形で表示します。

署名の検証はしません

署名が正しいかどうかの検証は行わないため、トークンの真正性を確認する用途には向いていません。表示するのはヘッダーとペイロードの中身だけです。

ブラウザ完結・無料

デコードはブラウザの中で行われ、サーバーへの送信はありません。同じ処理をAPIから呼び出す場合は、1リクエストあたり$0.002（米ドル）です。

技術的な質問

署名の正しさも確認できますか？

いいえ。このツールが行うのはヘッダーとペイロードの表示のみで、署名の検証は行いません。

会員登録は必要ですか？

不要です。トークンを貼り付ければすぐに結果が表示されます。

APIから使う場合の料金は？

1リクエストあたり$0.002で、トークンの長さによる追加料金はありません。

KITの完全なドキュメントを見る →