ガイド

JWTセキュリティチェックリスト

JWTを安全に使うための重要な原則を短くまとめました。

alg=none や想定外のアルゴリズムを拒否し、期待するアルゴリズムのみ許可してください。
ペイロードは暗号化ではないので、パスワードや個人情報などの機密情報を入れないでください。
exp で寿命を短くし、必要なら nbf·jti で有効区間と再利用を制御してください。
署名検証時は iss·aud が期待値と一致するかも併せて確認してください。
秘密鍵は十分に長く無作為であるべきで、決してクライアントに公開しないでください。

トークンを自分でデコードしてみましょう貼り付けるだけでヘッダー・ペイロード・クレームがすぐに展開されます。

デコーダーを開く

関連項目

JWTとは何か

JWT（JSON Web Token）は、当事者間で情報を安全にやり取りするための、署名された小さなJSONトークン形式です。

JWTの3部構造

すべてのJWTは header.payload.signature の3部で構成され、各部はbase64urlでエンコードされます。

JWT とセッション認証

トークン（JWT）認証とサーバーセッション（クッキー）認証の違いと選び方です。

よくある JWT エラーと対処

JWT を扱うときによく出会うエラーと、その原因・対処法です。

アクセストークンとリフレッシュトークン

短命のアクセストークンと、それを再発行するリフレッシュトークンの役割です。