JWTは、ログイン状態やAPI認証などで使われるトークン形式の一つです。文字列だけを見ると分かりにくいですが、ヘッダー・ペイロード・署名の3つに分かれており、ヘッダーとペイロードはデコードして中身を確認できます。
すぐに中身を確認したい場合
作業窓のJWTデコーダーでは、JWTのヘッダーとペイロードをブラウザ内でデコードして、JSONとして読みやすく表示できます。署名検証は行いません。
JWTとは
JWTは「JSON Web Token」の略で、ドットで区切られた3つの部分からなる文字列です。主に、ユーザーや権限に関する情報をやり取りするために使われます。
一般的なJWTは、次のような構造です。
ヘッダー.ペイロード.署名
JWTの3つの構成
| 部分 | 主な内容 |
|---|---|
| ヘッダー | 署名アルゴリズムやトークン種別など |
| ペイロード | ユーザーID、発行者、有効期限などの情報 |
| 署名 | 改ざんされていないか確認するための値 |
JWTをデコードして確認できること
- どのアルゴリズムで署名されているか
- 発行者（iss）
- 対象ユーザーや識別子（sub）
- 利用者・対象サービス（aud）
- 発行日時（iat）
- 有効開始時刻（nbf）
- 有効期限（exp）
値がJSONとして見づらい場合は、JSON整形・圧縮で見やすく整えることもできます。
JWTをデコードする手順
- JWTデコーダーを開きます。
- 確認したいJWTを貼り付けます。
- 「JWTをデコード」を押します。
- ヘッダーとペイロードの内容を確認します。
- 必要に応じてJSONをコピーし、別の確認作業に使います。
注意：デコードと検証は違います
JWTは、ヘッダーとペイロードをデコードするだけなら比較的簡単に中身を確認できます。ただし、デコードできることと、トークンが正しいことは別です。
作業窓のJWTデコーダーは署名検証を行いません。トークンの正当性や改ざんの有無を確認するには、発行元の秘密鍵・公開鍵・署名方式に基づく検証が必要です。
JWTを扱うときの注意点
- 本番環境のアクセストークンや認証情報は、必要以上に貼り付けない
- 共有されたJWTの中に個人情報や権限情報が含まれていないか確認する
- 有効期限（exp）を確認するときは、Unix時刻の単位に注意する
- 署名検証が必要な場面では、デコーダーだけで判断しない
Unix時刻を日時に直したい場合は、Unixタイムスタンプ変換も使えます。
作成・更新方針
本記事は、作業前後に確認すべき項目を整理した実務ガイドです。利用環境やファイルの状態によって結果が異なるため、重要なデータは元ファイルを保管し、少量で結果を確認してから利用してください。編集方針は編集部についてで公開しています。
よくある質問
Q. JWTは誰でも中身を見られますか？
ヘッダーとペイロードはBase64URL形式でエンコードされているため、デコードすれば中身を確認できます。秘密情報を入れない設計が重要です。
Q. JWTデコーダーで署名検証はできますか？
作業窓のJWTデコーダーは署名検証を行いません。ヘッダーとペイロードの内容確認用として使ってください。
Q. JWTの有効期限はどこを見ればいいですか？
ペイロード内のexpを見るのが一般的です。値はUnix時刻で入っていることが多いため、日時に変換して確認します。
最終更新日：2026年7月22日