セキュアでローカルなJWTエンコーダー
このJWTエンコーダーを使用すると、開発者はブラウザ上で直接JSON Web Tokenをすばやく作成、編集、署名できます。認証フローの構築、APIエンドポイントのテスト、マイクロサービスのデバッグなどにおいて、カスタムスクリプトを書いたり外部サーバーに認証情報を送信したりすることなく、その場で有効なトークンを生成可能です。
このツールはブラウザ標準のWeb Crypto APIを使用しているため、データの処理や暗号化署名はすべてお使いのデバイス上で完結します。JSONペイロードやシークレットキーが外部にアップロード、保存、ログ記録されることは一切ありません。このローカルファーストな設計により、機密性の高い開発環境やステージング環境の認証情報を扱う場合でも、オンラインで安全にJWTに署名できます。
JWTトークンの作成方法
JWTトークンを作成するには、ヘッダー（アルゴリズムを定義）、ペイロード（データを含む）、シークレットキー（トークンを保護）の3つの要素が必要です。
まず、アルゴリズムを選択します。このツールは、強力なHS256 JWT生成ツールとして機能するだけでなく、HS384やHS512にも対応しています。これらは対称鍵HMACアルゴリズムであり、トークンの署名と検証に全く同じシークレットキーを使用します。数値が大きいほど（例: 512）ハッシュサイズが大きくなり、トークンの文字列は少し長くなりますが、より強固なセキュリティを実現できます。
次に、テキストエリアでペイロードを定義します。ペイロードは有効なJSON形式である必要があります。JSONの編集やシークレットキーの更新を行うと、ツールがリアルタイムで署名を再計算し、JSON構造に構文エラーがある場合は即座に通知します。ペイロードとシークレットキーを設定すると、完成したトークンをコピーして、アプリケーションのAuthorizationヘッダーやCookieで使用できるようになります。
トークン生成のよくある利用シーン
現代のWeb開発において、信頼できるJWT生成ツールは欠かせません。開発者は、主に以下のようなテストやデバッグの目的でこのツールを利用します。
APIエンドポイントのテスト: PostmanやInsomniaなどのAPIクライアントを使用する際、保護されたルートにアクセスするには有効なBearerトークンが必要です。フロントエンドアプリ全体を起動してログインし、トークンを取得する代わりに、ここで必要なユーザーIDやロールを指定して手動でトークンを生成できます。
認証ロジックのデバッグ: バックエンドがトークンを拒否する場合、手動でトークンを作成することで問題の切り分けに役立ちます。シークレットキーの誤り、不正なペイロード、署名アルゴリズムの不一致などが原因であるかを確認できます。
エッジケースの作成: 期限切れのトークン、クレームの欠落、権限のないロールなどをバックエンドがどう処理するかをテストすることは、セキュリティ上非常に重要です。ここではJSONペイロードを簡単に操作してこれらのエッジケースを作成し、サーバーが正しいHTTPステータスコードを返すかを確認できます。
タイムスタンプとクレームの管理
JSON Web Tokenでは、トークンのライフサイクルやユーザー情報を伝えるために、クレームと呼ばれる特定のフィールドを使用します。時間に関する最も一般的なクレームは、iat（発行日時）とexp（有効期限）です。これらのクレームには、1970年1月1日からの経過秒数であるUnixタイムスタンプを指定する必要があります。
テスト時にこれらのタイムスタンプを手動で計算するのは手間がかかります。作業を効率化するため、このツールのペイロードエディタ上部にはクイックアクションボタンが用意されています。
- iat = now をクリックすると、現在のUnixタイムスタンプで
iatフィールドが即座に挿入または更新されます。 - exp = +1h または exp = +24h をクリックすると、未来のタイムスタンプが計算され、それに応じて
expフィールドが更新されます。
これにより、生成したトークンが即座に有効となり、サーバーの時刻検証ロジックで予期せず拒否されるのを防ぐことができます。
Base64シークレットの取り扱い
オンラインでJWTに署名する際、よくつまずくのがシークレットキーのエンコード処理です。多くのバックエンドシステムやチュートリアルでは、HMACシークレット用に強力でランダムなバイト配列を生成し、それをBase64文字列として環境変数に保存することが推奨されています。
サーバー側でトークンの署名や検証を行う前に、このBase64文字列を元のバイト列にデコードしている場合、標準的なジェネレーターにBase64文字列をそのまま貼り付けると、無効な署名が生成されてしまいます。これは、ジェネレーターがBase64の文字列をプレーンテキストとして処理し、不一致が生じるためです。
この問題を解決するには、シークレットはBase64エンコード済みのチェックボックスをオンにするだけです。このツールは、HMACハッシュを適用する前にシークレット文字列を元のバイト列にデコードするため、生成される署名がバックエンド環境と完全に一致します。
JWTの構造について
トークンを生成すると、その構造がわかりやすいように色分けして出力されます。標準的なJWTは、ドット（.）で区切られた3つの部分で構成されています。
- ヘッダー (赤): トークンのメタデータ（主に署名アルゴリズム。例：
{"alg":"HS256","typ":"JWT"}）が含まれます。選択したアルゴリズムに基づいて自動的に生成され、Base64URLエンコードされます。 - ペイロード (青): 実際のJSONデータで、こちらもBase64URLエンコードされます。この部分はトークンを傍受した人なら誰でも簡単に読み取ることができるため、パスワードや機密性の高いデータは絶対に含めないでください。
- 署名 (緑): エンコードされたヘッダーとペイロードの暗号学的ハッシュで、シークレットキーを使用して署名されます。これにより、通信中にトークンが改ざんされていないことが保証されます。
既存のトークンがあり、シークレットキーなしでその内容を確認したい場合は、当サイトのJWTデコーダーに貼り付けることで、ヘッダーとペイロードを安全に確認できます。