JWT 署名検証
シークレットまたは公開鍵を使って JWT の署名をブラウザー内で検証し、必要に応じて発行者、対象者、有効期限、開始時刻のクレームも確認します。
JWT 署名検証ドットで区切られた正確に3パートの署名済み compact JWT を貼り付けます。対応する HMAC シークレット、SPKI PEM 公開鍵、または公開 JWK を入力します。必要に応じて想定する発行者、対象者、時刻の許容差を設定します。検証後にアルゴリズム、鍵形式、Header、Claims を確認しますが、認可とはみなしません。
かんたんスタート
1
2
3
4
よくある利用シーン
API のデバッグ
トークンと既知の鍵で署名が有効になるか確認します。
移行
HS、RS、PS、ES の署名鍵を切り替える際にトークンを確認します。
鍵の対応確認
公開鍵が署名済みトークンに対応するか調べます。
クレーム確認
iss、aud、exp、nbf を連携先の想定値と比較します。
使い方のヒント
信頼できる経路から検証鍵を取得し、バックエンドが想定する発行者と対象者を確認してください。
HMAC シークレットとトークンは機密情報として扱い、特に共有端末では使用後に消去してください。
この確認は診断専用です。バックエンドでは認可、失効、セッション、業務ルールを引き続き適用する必要があります。
検証の範囲
入力は header.payload.signature 形式の3パート compact JWS JWT である必要があります。5パート JWE、ネスト形式、独自形式は対象外です。
鍵ファミリーと想定アルゴリズムは独立して選びます。header.alg は選択を変更せず、3つすべての一致が必要です。HS は UTF-8 または Base64URL、RS/PS/ES は SPKI PEM または公開 JWK を使います。
署名、exp、nbf を検証し、iss と aud は想定値を入力した場合のみ確認します。時刻の許容差は時刻検査に適用されます。
セキュリティ境界
有効な署名が示すのは、トークンのバイト列が指定鍵と宣言アルゴリズムに一致することだけです。鍵の出所や発行者の信頼性は証明しません。
Scopes、ロール、権限、失効、ログアウト、セッション、nonce、azp、subject ポリシー、業務ルールは確認せず、アクセス権も付与しません。
鍵、発行者、対象者、アルゴリズムポリシーを別途確認してください。誤っていても相互に一致するトークンと鍵は検証に成功する場合があります。
非対応: JWE、トークン発行または署名、秘密鍵、X.509 証明書、EdDSA、JWK sets/JWKS、OIDC discovery、リモート鍵取得、サーバー introspection。
制限事項と互換性
署名済み3パート compact JWS JWT のみ対応し、暗号化された5パート JWE は受け付けません。
対応する HS、RS、PS、ES のみ検証し、alg none と EdDSA は拒否します。
SPKI PUBLIC KEY PEM ブロックまたは1つの公開 JWK のみ受け付け、秘密鍵、証明書、JWKS、鍵 URL は扱いません。
ネットワーク検索、OIDC discovery、JWKS 更新、失効確認、発行、署名、ダウンロード、結果共有は行いません。
プライバシーとセキュリティ
解析と検証はブラウザー内でローカルに実行されます。トークン、シークレット、PEM/JWK、発行者、対象者、結果はアップロードされず、URL、Workspace、WebDAV に保存されません。WebDAV 同期を有効にした場合、想定アルゴリズム、鍵の種類、シークレットのエンコード、時刻の許容差という4つの機密ではない設定だけが同期されることがあります。
機密情報には個人端末を使い、終了後に入力欄を消去し、信頼できない拡張機能や画面共有を避けてください。
よくある質問
API は別の発行者や対象者を要求したり、アルゴリズムを拒否したり、Scopes、ロール、失効、セッション、nonce、azp などの規則を適用する場合があります。
できません。ネットワーク要求は行わず、RS/PS/ES には SPKI PUBLIC KEY PEM または公開 JWK を1つだけ受け付けます。JWKS、OIDC、X.509、リモート選択は非対応です。