JWT のデコード（署名検証はしません）

機能

• header・payload・signature の3つに分けて整形表示
• iat / nbf / exp を ISO の読める日時に変換し、期限切れかどうかも表示
• パディングの欠けた Base64URL を許容し、Authorization ヘッダの Bearer 接頭辞や折り返しも認識
• 出力は 1 つの JSON で、フィールドはそのまま他所へコピーして使えます
• セグメント数が合わないときはどこが違うかを説明 —— 5 つなら暗号化された JWE トークンで、JWT ではないと指摘します
• 署名検証は行わず、そのことを出力に明記（多くの「オンラインデコード」ツールはこの点を教えてくれません）

使い方

1. トークンを入力欄に貼り付けます（Bearer 接頭辞は付いていてもいなくても構いません）
2. 結果はすぐに表示されます（Ctrl/⌘ + Enter や「実行」でも可）
3. 3つのセグメントと時刻情報を確認し、exp が期限切れかどうかを見ます
4. 「コピー」で結果を取り出せます —— ただし「トークンが有効」の証明と受け取らないでください

よくある質問

デコードに成功したら、そのトークンは有効なのですか？

いいえ。このツールは署名を検証しませんので、トークンが改ざんされていないか、信頼できる発行元のものかは判断できません。誰でも構文的に合法で中身がでたらめな JWT を作れますが、ここではそれも同じようにデコードに成功します。有効性の判断は必ずサーバー側で、秘密鍵（HS256）または公開鍵（RS256）による署名検証で行ってください —— フロントエンドの公開鍵で検証できるのは非対称署名だけで、HS256 の秘密鍵は絶対にブラウザへ置いてはいけません。

payload は暗号化されていますか？

いいえ。Base64URL は符号化であって暗号化ではなく、トークンを手にした人は誰でも中身を読めます（このツールがやっているのはまさにそれです）。ですからトークンにはパスワードや電話番号、身分証番号のような情報を入れないでください。機密性が必要なら JWE（暗号化トークン）を使ってください。そのトークンは5つのセグメントからなり、このツールではデコードできません。

結果に signatureVerification: not-performed と書かれているのはなぜですか？

署名の検証には鍵が必要で、その鍵はブラウザに置くべきものではないからです。ツールにできるのは「検証していない」と正直に伝えることで、「デコードできた = 検証済み」と誤解させることではありません。この行は、別のトークンに変えても performed にはなりません。

有効期限は誰の時計で判定していますか？

お使いの端末の時計です。exp と現在時刻を比べて期限切れかどうかを判定するので、端末の時刻がずれていれば判定もずれます。本来の期限判定は常にサーバー側で行うべきです —— クライアントの時刻はいくらでも書き換えられます。

トークンがデコードできないのはなぜですか？

最も多いのは、貼り付けるときに文字が欠けた場合です（トークンは長く、途中で切れやすいからです）。次に多いのは、5 セグメントの JWE 暗号化トークンをつかんでいる場合です —— あれは暗号化されており、JWT ではありません。なお JWT は Base64URL（+ と / の代わりに - と _ を使い、= のパディングを付けません）を使っており、この点は本ツールが仕様どおりに処理しています。