ForHosting KIT · サイト取得・監視

JWTペイロードを署名検証なしでデコード

トークンを貼り付けると、書かれている内容を読めます。例では、ヘッダーにHS256の方式、中身にJohn Doeという名前とadminがtrueであることが示されます。署名は確かめないため、表示されるのは主張であって証明ではありません。ブラウザで無料で使えます。

無料
ブラウザで動作
登録不要
データは端末の外に出ません

無料で実行 API仕様を見る

ご利用方法ウェブAPIメールTelegramアプリ近日

両方を構造化オブジェクトとして返すため、クレーム、識別子、時刻、発行者、対象者、アルゴリズムのメタデータを簡単に確認し、別のツールへ渡せます。署名は意図的に検証しません。したがって、デコード結果はトークンの主張を示すだけで、作成者を証明しません。デバッグ、開発、文書作成、慎重な調査にご利用いただき、真正性や権限の証明には使用しないでください。

開発作業でデコード済みクレームを安全に扱う

デコードはシステム間の境界で特に役立ちます。サポート担当者は、適切に伏せ字にしたテストトークンを調べ、対象者やスコープの不足を確認できます。どの作業でも、デコード済みデータは信頼できない入力であると明示してください。

クレームの内容だけを根拠に、アクセス許可、tenantの選択、本人確認、非公開データの開示を行わないでください。JWTは無害に見えても有効な認証情報の場合があるため、実際のbearer tokenをログ、チケット、チャット、共有文書へ貼り付けないでください。診断には合成済み、期限切れ、またはローカル生成の例を推奨します。

実トークンを自動処理する場合は、保護された経路でのみ送信し、デコード後に信頼できる設定で検証してください。

よくある質問

料金はいくらですか？

ブラウザー版では、同じ決定的なデコード処理をローカルで実行できます。

署名なしJWTもデコードできますか？

コンパクト形式には3セグメントが必要ですが、非保護トークンの3番目は空でも構いません。安全性を判断せずに最初の2つをデコードします。

このツールは署名を検証しますか？

いいえ、検証しません。表示されるのはトークンが主張している内容で、誰が作ったかの証明にはなりません。アクセスの許可など安全に関わる判断は、信頼できる鍵で署名を検証してから行ってください。

JWTの中身は暗号化されていますか？

いいえ。最初の2つの部分は、小さくまとめて送るために符号化されているだけで、暗号化も隠されてもいません。トークンを持っていれば誰でも読めるので、テスト用で足りる場合は本物を貼り付けないでください。

有効期限や発行時刻が数値のまま表示されるのはなぜですか？

有効期限、有効開始、発行時刻の値は、日付に変換せずトークンに書かれた数値のまま返します。どのように表示したり比べたりしたいかを勝手に決めつけないためです。

開発者向け — APIアクセス

このページの機能はすべてAPIからも利用できます。自社システムに組み込みたいチーム向けのセクションです。それ以外の方は上のツールをそのままお使いください。

エンドポイント

POSThttps://api.kit.forhosting.com/web/jwt-decode

Bearerトークンで認証し、POST1回でタスクをキューに登録します。結果はWebhookまたは署名付きリンクで受け取れます。

お使いのスタックから呼び出す

curl -X POST https://api.kit.forhosting.com/web/jwt-decode \
  -H "Authorization: Bearer $KIT_KEY" \
  -H "Content-Type: application/json" \
  -d '{"token":"eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.c2lnbmF0dXJl"}'

const res = await fetch("https://api.kit.forhosting.com/web/jwt-decode", {
  method: "POST",
  headers: {
    "Authorization": `Bearer ${process.env.KIT_KEY}`,
    "Content-Type": "application/json"
  },
  body: JSON.stringify({
    "token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.c2lnbmF0dXJl"
  })
});
const { task_id } = await res.json();

import os, requests

res = requests.post(
    "https://api.kit.forhosting.com/web/jwt-decode",
    headers={"Authorization": f"Bearer {os.environ['KIT_KEY']}"},
    json={
    "token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.c2lnbmF0dXJl"
},
)
task_id = res.json()["task_id"]

<?php
$res = file_get_contents("https://api.kit.forhosting.com/web/jwt-decode", false, stream_context_create([
  "http" => [
    "method"  => "POST",
    "header"  => "Authorization: Bearer " . getenv("KIT_KEY") . "\r\nContent-Type: application/json",
    "content" => '{"token":"eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.c2lnbmF0dXJl"}',
  ],
]));
$task = json_decode($res, true);

body := bytes.NewBufferString(`{"token":"eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.c2lnbmF0dXJl"}`)
req, _ := http.NewRequest("POST", "https://api.kit.forhosting.com/web/jwt-decode", body)
req.Header.Set("Authorization", "Bearer "+os.Getenv("KIT_KEY"))
req.Header.Set("Content-Type", "application/json")
res, _ := http.DefaultClient.Do(req)

リクエスト例

{
  "token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.c2lnbmF0dXJl"
}

レスポンス例

{
  "task_id": "tsk_a1b2c3d4e5f6a1b2c3d4e5f6",
  "type": "web.jwt_decode",
  "status": "queued",
  "_links": {
    "result": "/tasks/tsk_…/result"
  }
}

非同期APIです。task_idは即時に返ります。ポーリングは1秒あたり1リクエストまでです。

料金

1リクエストあたり$0.002

単価はすべて公開しています。トークン換算や独自クレジットはありません。失敗したタスクは課金されません。

制限

`timeout_sec`	30
`max_crawl_pages`	25

エラー

HTTP	コード	意味
`401`	`unauthorized`	APIキーが無効か、指定されていません。Authorizationヘッダーを確認してください。
`402`	`insufficient_balance`	残高が不足しています。チャージ後に再度お試しください。
`404`	`unknown_type`	指定されたタスクタイプは存在しません。タイプ名を確認してください。
`429`	`rate_limited`	リクエストが多すぎます。しばらく待ってから再度お試しください。

技術的な注記

このJWTデコーダーは、JSON Web Tokenを3つのコンパクトなセグメントに分割し、ヘッダーとペイロードのbase64urlエンコードされたJSONを読み取ります。

デコードで証明できることとできないこと

3番目のセグメントを認証には使用しません。この違いは重要です。任意のクレームを含むトークン形式の文字列は誰でも作成できるためです。構造の確認、クレーム名や値の診断、開発時の可読化にデコードをご利用ください。セキュリティ判断に使う場合は、明示的に信頼する鍵、許可するアルゴリズム、発行者、対象者を指定し、適切なJWT検証ライブラリで検証してください。JWTは通常、ピリオドで連結されたヘッダー、ペイロード、署名で構成されます。最初の2つはbase64urlでエンコードされたJSONです。これはコンパクトに運ぶための符号化であり、暗号化や秘匿ではありません。この機能は入力されたトークンを分割し、2つのセグメントをUTF-8としてデコードしてJSONを解析し、ヘッダーとペイロードのオブジェクトを返します。デコード済みペイロードに主体、役割、発行者、対象者、有効期限があっても、信頼できるシステムが発行した証拠にはなりません。

コンパクトJWTを入力して結果を確認する方法

構造的に正しいトークンには、2つのピリオドで区切られた3つのセグメントが必要です。このデコーダーが読むのは最初の2つだけです。exp、nbf、iatなどのNumericDateは日付へ変換せず、数値のまま返すため、表示方法や比較方法を呼び出し側で選べます。完全なコンパクトJWTをtokenフィールドに貼り付けるか送信してください。応答にはheaderオブジェクトとpayloadオブジェクトが含まれます。一般的なヘッダーフィールドには、JWTのメディア種別を示すtypと、署名アルゴリズムの主張を示すalgがあります。ペイロードには、主体のsub、発行者のiss、対象者のaud、有効期限のexp、アプリ固有のクレームなどがあります。特定のクレームは必須ではなく、存在するJSON値を保持します。セグメント数、base64url、UTF-8、JSONが不正な場合や、デコード結果がオブジェクトでない場合は、部分的な結果ではなく入力エラーを返します。

開発作業でデコード済みクレームを安全に扱う

API開発者は、IDプロバイダーが生成するクレームとアプリが期待する名前を比較できます。

連携の活用例

IDプロバイダーのクレームを調査

ヘッダーとペイロードの構造を確認し、発行されたクレーム名、対象者、スコープ、識別子をアプリ設定と比較します。

ローカルのテストトークンを確認

テストや開発スクリプトでfixture tokenをデコードし、署名検証とは別に期待する独自クレームを確認します。

トークン構造を分かりやすく説明

合成済みで適切に伏せ字にした例を、技術文書、研修、診断に使える読みやすいJSONオブジェクトへ変換します。

技術的な質問

JWTの署名も検証しますか？

いいえ。ヘッダーとペイロードのみをデコードします。別の検証器で署名と必須クレームを確認するまで、全フィールドを信頼しないでください。

なぜ3つのセグメントが必要ですか？

JWTのコンパクト形式は、ピリオドで区切られたヘッダー、ペイロード、署名で構成されるため、異なる構造は拒否します。

有効期限を日付に変換しますか？

いいえ。exp、nbf、iatなどはペイロードの表現どおり返し、用途に応じて呼び出し側で解釈できます。

KITの完全なドキュメントを見る →

JWTペイロードを署名検証なしでデコード

無料で実行

開発作業でデコード済みクレームを安全に扱う

よくある質問

関連ツール

開発者向け — APIアクセス

エンドポイント

お使いのスタックから呼び出す

リクエスト例

レスポンス例

料金

制限

エラー

技術的な注記

デコードで証明できることとできないこと

コンパクトJWTを入力して結果を確認する方法

開発作業でデコード済みクレームを安全に扱う

連携の活用例

IDプロバイダーのクレームを調査

ローカルのテストトークンを確認

トークン構造を分かりやすく説明

技術的な質問

ありがとう