ガイド

JWS と JWE（署名 vs 暗号化）

JWT は通常は署名された JWS で、内容を隠すには暗号化された JWE を使います。その違いです。

JWS（署名）：ヘッダーとペイロードを署名するだけです。内容は base64url で誰でも読め、改ざんのみ検証されます — よく見る JWT がこれです。
JWE（暗号化）：ペイロードを暗号化して内容を隠します。鍵がないと読めず機密情報に使い、5部構造（点4つ）です。
ほとんどの『JWT』は JWS です。このデコーダーも JWS をデコードします（JWE は復号鍵が必要）。
まとめ：完全性だけ必要 → JWS、機密性も必要 → JWE（または TLS 上の JWS）。

トークンを自分でデコードしてみましょう貼り付けるだけでヘッダー・ペイロード・クレームがすぐに展開されます。

デコーダーを開く

関連項目

JWTとは何か

JWT（JSON Web Token）は、当事者間で情報を安全にやり取りするための、署名された小さなJSONトークン形式です。

JWTの3部構造

すべてのJWTは header.payload.signature の3部で構成され、各部はbase64urlでエンコードされます。

JWTセキュリティチェックリスト

JWTを安全に使うための重要な原則を短くまとめました。

JWT とセッション認証

トークン（JWT）認証とサーバーセッション（クッキー）認証の違いと選び方です。

よくある JWT エラーと対処

JWT を扱うときによく出会うエラーと、その原因・対処法です。

アクセストークンとリフレッシュトークン

短命のアクセストークンと、それを再発行するリフレッシュトークンの役割です。

JWT の保存先：localStorage vs クッキー

ブラウザで JWT をどこに保存するかで XSS・CSRF のリスクが変わります。

カスタムクレーム（公開 vs 非公開）

登録クレーム（iss・exp など）以外に自分で定義するクレームの種類と衝突回避法です。

OAuth 2.0・OpenID Connect における JWT

JWT が OAuth 2.0 と OpenID Connect でどんな役割を果たすかをまとめます。