ForHosting KIT · 開発者向けツール

JWTトークンを発行

署名付きのJWTを自分の内容で発行できます。サブジェクト、adminのような役割、共有シークレットを入れると、すぐ使えるHS256のトークンが返ります。秘密鍵でRS256の署名もでき、鍵は1回使うと破棄されます。ブラウザで無料で使えます。

無料
ブラウザで動作
登録不要
データは端末の外に出ません

ご利用方法ウェブAPIメールTelegramアプリ近日

認証機能の実装中に、テスト用のトークンをすぐに作りたい場面に向いています。

自分でトークンに署名すると便利な場面

利用者のログインには本格的な認証基盤がありますが、正当な作業の多くはその外で行われます。サービス同士の呼び出しに使う短命のトークン、特定の役割を持つ利用者を表すテスト用のトークン、不具合を再現するために特定の顧客になりすます検証用の作業、一時的で範囲を絞った権限を出す社内ツールなどです。そのために認証サーバーを丸ごと用意するのは大げさですが、署名を1回行うだけなら手軽です。ただし細部が肝心で、有効期限の形式の誤りや対象者の書き漏れひとつで、後に続くすべてのサービスが動かなくなることがあります。

HS256とRS256、そして鍵の扱い

HS256は同じ共有シークレットで署名と検証を行い、両端を1つのサービスや信頼できる少人数で管理するときに向いています。RS256は秘密鍵で署名し、対になる公開鍵で誰でも検証できるため、複数の独立したサービスが署名用の秘密を持たずにトークンを確認できます。送った鍵はその1回の署名だけに使われ、記録も再利用もされずに破棄されます。有効期限が数値でないなど構造的に正しくない内容は、署名の前に受け付けません。

JWTを発行する場面

認証機能を実装している最中に、特定のクレームを持つトークンをすぐに用意して動作確認をしたいことがあります。このツールはそうしたテスト用途に向いています。

秘密鍵はその都度送信、保存されません

入力した鍵は発行の計算にのみ使われ、その後保存されることはありません。本番環境の鍵をそのまま使う場合は、取り扱いに十分ご注意ください。

活用例

認証機能のテスト

田中大輔さんは、権限の異なる複数のテストユーザー用に、それぞれ別のクレームを持つJWTを発行し、画面ごとの表示制御を確認しています。

有効期限切れの動作確認

合同会社みどりデザインの開発者は、有効期限をわざと短く設定したJWTを発行し、期限切れ時にアプリが正しく再ログインを促すかを確認しています。

よくある質問

どの署名アルゴリズムに対応していますか？

HS256を中心に、対称鍵方式の主なアルゴリズムに対応しています。

日本語のサポートはありますか？

申し訳ありませんが、日本語でのサポートは行っておりません。サポートは英語またはスペイン語で、担当者が直接対応します。ツール自体は日本語の環境でも問題なくご利用いただけます。

本番環境の鍵を使っても安全ですか？

テストや開発での利用を想定しています。本番の秘密鍵を第三者のツールに入力すること自体にリスクがあるため、可能であればテスト専用の鍵をご利用ください。

トークンに有効期限を付けるには？

有効にしておきたい秒数を指定すると、その期限がトークンに書き込まれます。指定しない場合、トークンは有効期限なしで発行されます。

HS256とRS256はどちらを選べばよいですか？

HS256は同じ共有シークレットで署名と検証を行うため、1つのサービスや信頼できる少人数で両端を管理する場合に手軽です。RS256は秘密鍵で署名し、公開鍵で誰でも検証できるので、複数の独立したサービスがシークレットを持たずに確認できます。

開発者向け — APIアクセス

このページの機能はすべてAPIからも利用できます。自社システムに組み込みたいチーム向けのセクションです。それ以外の方は上のツールをそのままお使いください。

エンドポイント

POSThttps://api.kit.forhosting.com/dev/jwt-sign

Bearerトークンで認証し、POST1回でタスクをキューに登録します。結果はWebhookまたは署名付きリンクで受け取れます。

お使いのスタックから呼び出す

curl -X POST https://api.kit.forhosting.com/dev/jwt-sign \
  -H "Authorization: Bearer $KIT_KEY" \
  -H "Content-Type: application/json" \
  -d '{"payload":{"sub":"user_1"},"secret":"s3cr3t"}'

const res = await fetch("https://api.kit.forhosting.com/dev/jwt-sign", {
  method: "POST",
  headers: {
    "Authorization": `Bearer ${process.env.KIT_KEY}`,
    "Content-Type": "application/json"
  },
  body: JSON.stringify({
    "payload": {
      "sub": "user_1"
    },
    "secret": "s3cr3t"
  })
});
const { task_id } = await res.json();

import os, requests

res = requests.post(
    "https://api.kit.forhosting.com/dev/jwt-sign",
    headers={"Authorization": f"Bearer {os.environ['KIT_KEY']}"},
    json={
    "payload": {
        "sub": "user_1"
    },
    "secret": "s3cr3t"
},
)
task_id = res.json()["task_id"]

<?php
$res = file_get_contents("https://api.kit.forhosting.com/dev/jwt-sign", false, stream_context_create([
  "http" => [
    "method"  => "POST",
    "header"  => "Authorization: Bearer " . getenv("KIT_KEY") . "\r\nContent-Type: application/json",
    "content" => '{"payload":{"sub":"user_1"},"secret":"s3cr3t"}',
  ],
]));
$task = json_decode($res, true);

body := bytes.NewBufferString(`{"payload":{"sub":"user_1"},"secret":"s3cr3t"}`)
req, _ := http.NewRequest("POST", "https://api.kit.forhosting.com/dev/jwt-sign", body)
req.Header.Set("Authorization", "Bearer "+os.Getenv("KIT_KEY"))
req.Header.Set("Content-Type", "application/json")
res, _ := http.DefaultClient.Do(req)

リクエスト例

{
  "payload": {
    "sub": "user_1"
  },
  "secret": "s3cr3t"
}

レスポンス例

{
  "task_id": "tsk_a1b2c3d4e5f6a1b2c3d4e5f6",
  "type": "dev.jwt_sign",
  "status": "queued",
  "_links": {
    "result": "/tasks/tsk_…/result"
  }
}

非同期APIです。task_idは即時に返ります。ポーリングは1秒あたり1リクエストまでです。

料金

1リクエストあたり$0.002

単価はすべて公開しています。トークン換算や独自クレジットはありません。失敗したタスクは課金されません。

エラー

HTTP	コード	意味
`401`	`unauthorized`	APIキーが無効か、指定されていません。Authorizationヘッダーを確認してください。
`402`	`insufficient_balance`	残高が不足しています。チャージ後に再度お試しください。
`404`	`unknown_type`	指定されたタスクタイプは存在しません。タイプ名を確認してください。
`429`	`rate_limited`	リクエストが多すぎます。しばらく待ってから再度お試しください。

技術的な注記

指定したクレームと秘密鍵からJWT（JSON Web Token）を発行するツールです。

使い方

有効期限（exp）など標準的なクレームも設定できます。ペイロードに含めたいクレームと秘密鍵、署名アルゴリズムを入力すると、署名済みのJWTが生成されます。

ブラウザとAPI

ブラウザでの利用は無料です。CIやビルド処理の中でテスト用トークンを自動発行したい場合は、APIから同じ機能を呼び出せます。料金は1リクエストあたり$0.002（米ドル）です。

連携の活用例

CIでのテストデータ生成

鈴木美咲さんのチームは、自動テストの実行前にAPIからテスト用JWTを発行し、認証が必要なエンドポイントのテストに使っています。

技術的な質問

入力した秘密鍵は保存されますか？

保存されません。発行のたびに入力していただく仕組みです。

なぜ無料で使えるのですか？

ブラウザで完結する処理には大きなコストがかからないためです。CIやサーバー側からAPIで自動発行する場合は、利用に応じた料金がかかります。

会員登録は必要ですか？

不要です。ページを開けばすぐに発行できます。

APIから使う場合の料金は？

1リクエストあたり$0.002です。設定するクレームの数による追加料金はありません。

KITの完全なドキュメントを見る →