JWT機密クレーム診断・警告
ローカル処理JWTトークンのペイロードをローカル解析し、パスワードや秘密情報などの機密フィールドが含まれていないか診断します。
使い方と処理基準
JWTトークンのペイロードをローカル解析し、パスワードや秘密情報などの機密フィールドが含まれていないか診断します。
ツールの処理はブラウザ内で行われます。計算・変換の共有リンクを作成すると値がURLに含まれます。アカウント・アクセス解析・広告の情報はプライバシーポリシーをご確認ください。
処理制限
- 最大入力文字数: 2,000,000文字
JWTのペイロードは署名されているだけで暗号化されておらず、誰でも読めます。トークンを貼り付けると、クレーム数と注意が必要なクレーム名を示します。
フィールド名だけを見ます。名前が普通でも値に機密情報が入っていることがあるので、デコードして確かめてください。
できること
- 機密クレームの検出
- email・passwordなどよくある機密フィールド名を探します。
- クレーム数
- ペイロードに含まれるクレームの数を表示します。
JWT機密クレーム診断・警告の使い方
- 1トークンを貼り付けチェックするJWTを貼り付けます。
- 2結果を確認注意が必要なクレームの一覧を見ます。
活用例
機密情報のないトークン
入力: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0…
結果: クレーム3個、注意クレームなし
email・passwordを含むトークン
入力: eyJhbGciOiJIUzI1NiJ9.eyJlbWFpbCI6…
結果: クレーム2個、注意クレーム: email, password
主な利用シーン
- ログインAPIが発行するトークンに個人情報が漏れていないか点検するとき
- セキュリティチェックリストの「トークンに機密情報なし」を確認するとき
よくある質問 (FAQ)
署名があれば安全ではないのですか？
署名は内容が変わっていないことしか保証しません。内容はBase64URLで誰でも読めるため、パスワードやマイナンバーのような値を入れてはいけません。