JWT クレームビルダー & ペイロードジェネレーター (RFC 7519 準拠) 開発者ガイド

JWT クレームビルダー & ペイロードジェネレーター (RFC 7519 準拠) 開発者ガイド

RFC 7519 登録済みクレームおよびカスタムクレームを設計し、exp、nbf、iat、jti、aud のタイムスタンプを即座に計算・検証する開発者ツール。

Presets label
Registered claims
7 / 7 configured
StringOrURI
Principal ID
Target APIs / Clients
https://api.toolsaa.com/v1https://billing.toolsaa.com
In 1h
Quick Lifespan:
Custom claims
Templates:
7 RFC•2 Custom
14 Lines•305 Bytes
{
  "iss": "https://auth.toolsaa.com",
  "sub": "usr_89f72b10",
  "aud": [
    "https://api.toolsaa.com/v1",
    "https://billing.toolsaa.com"
  ],
  "exp": 1792178372,
  "nbf": 1792174772,
  "iat": 1792174772,
  "jti": "f81d4fae-7dec-11d0-a765-00a0c91e6bf6",
  "scope": "read:profile write:workspace admin:billing",
  "client_id": "spa_client_prod_442"
}
RFC 7519 Ready
Base64: 407 chars
Stat status
7 / 7 Claims

Standard iss, sub, aud, exp, nbf, iat, jti validation

Stat lifespan
In 1h

Second-level Unix epoch precision

Stat payload size
305 Bytes

~3.7% of 8KB HTTP header buffer

Client-Side Processing

High-performance processing executed entirely in browser memory.

Zero Server Upload Privacy

All data payloads remain strictly local with zero external server communication.

Production Ready Export

Clean, optimized output formats ready for immediate deployment.

技術リファレンス＆アーキテクチャガイド

JWT クレームビルダー & ペイロードジェネレーター (RFC 7519 準拠) 開発者ガイド — リファレンスガイド

RFC 7519 登録済みクレームおよびカスタムクレームを設計し、exp、nbf、iat、jti、aud のタイムスタンプを即座に計算・検証する開発者ツール。

主要パラメータ＆設定項目

iss (Issuer / 発行者)string

JWT を発行したプリンシパル（認証プロバイダーやドメイン URI）を一意に識別します。

初期値: https://auth.example.com
sub (Subject / サブジェクト)string

トークンの主体となる対象者（ユーザー UUID、アカウント識別子など）を示します。

初期値: usr_94b3a8c1-5e2b
aud (Audience / 受信者)string | string[]

トークンが想定している利用対象（API エンドポイントやサービス ID）。検証側は自身の識別子と一致するか検証が必須です。

初期値: https://api.example.com/v1
exp (Expiration Time / 有効期限)integer (Unix タイムスタンプ秒)

トークンの有効期限。Unix エポック（1970年1月1日）からの経過秒数（RFC 7519 NumericDate）で指定します。

初期値: 1776435600
jti (JWT ID / 一意識別子)string

トークン固有のランダム識別子。リプレイ攻撃の防止やトークン失効リスト（ブラックリスト）の管理に使用されます。

初期値: b9c8d6e4-4a2f-48d1-912b-3e5f7a1c8d9e

プロの活用テクニック＆推奨設定

ミリ秒ではなく「秒」単位を使用する（落とし穴回避）

RFC 7519 は NumericDate を『秒』単位で定義しています。JavaScript の 'Date.now()' をそのまま渡すとミリ秒になり、5万年先の有効期限として扱われたり検証ライブラリで即時エラーになったりするため、必ず 'Math.floor(Date.now() / 1000)' で秒に変換してください。

HTTP ヘッダーや Cookie の容量肥大化を防ぐ

JWT は毎リクエストの Authorization ヘッダーや Cookie で送信されます。機密情報や過度な権限マトリクス、大きなプロファイルを含めると、Nginx や Cloudflare の 8KB ヘッダー制限に抵触するためペイロードは最小限に留めてください。

検証サーバーにクロックスキュー（許容誤差）を設定する

分散環境では NTP 同期による数秒の時刻ズレが発生します。'exp' や 'nbf' の検証時には検証ミドルウェアに 30〜60 秒の許容範囲（clockTolerance / leeway）を設けることで、トークン更新直後の誤判定を防ぎます。

よくあるトラブルと解決策

トークン検証時に即座に 'TokenExpiredError' や期限切れエラーが発生する

'exp' クレームがミリ秒単位で生成されていないか、またはクライアントとサーバーのシステム時計が同期しているか確認してください。'Math.floor(Date.now() / 1000) + 有効秒数' で計算し、検証側に leeway を設定してください。

署名は正しいが 'jwt audience invalid' (401/403) で拒否される

リソースサーバーが期待している 'aud' の URI またはクライアント識別子と、トークンの値が完全一致しているか確認してください。複数サービスで共有する場合は 'aud' を文字列配列として定義してください。

よくある質問 (FAQ)

RFC 7519 における登録済み（Registered）、公開（Public）、プライベート（Private）クレームの違いは何ですか？▼

登録済みクレーム（iss, sub, aud, exp, nbf, iat, jti）はセキュリティ標準として IANA で予約されています。公開クレームは IANA レジストリに登録されるか衝突防止 URI で定義されたものです。プライベートクレームはシステム固有の任意情報（role, tenant_id など）を格納するために独自合意して使用します。

なぜ JWT のタイムスタンプ（exp, iat）はミリ秒ではなく秒単位なのですか？▼

POSIX 標準時刻仕様に準拠し、JSON ペイロードのバイトサイズを最小化するためです。すべての標準 JWT パーサーは 64ビット整数の秒数として解釈します。

JWT ペイロードにパスワードや機密個人情報を入れても安全ですか？▼

安全ではありません。標準的な署名付き JWT（JWS）は Base64URL エンコードされているだけで暗号化されておらず、誰でも中身を閲覧できます。秘匿性が必要な場合は JWE（RFC 7516）による暗号化が必要です。

jti（JWT ID）クレームはどのようにリプレイ攻撃を防ぎますか？▼

各トークンに UUID などの一意な jti を付与し、使用済みトークンの jti を Redis 等に有効期限まで一時キャッシュします。同一の jti が再送された場合に即座に拒否することで、リプレイ攻撃や再利用を防ぎます。

関連するおすすめ開発ツール

すべてのツール →
WireGuard 鍵ペア＆ピア設定生成ツール 開発者ガイドsecurity

WireGuard の Curve25519 公開鍵・秘密鍵ペア、事前共有鍵 (PSK)、およびクライアント／サーバー用ピア設定ブロックをブラウザ内で安全に生成します。

ツールを開く→
Apache & Nginx htpasswd 生成ツール（Bcrypt、APR1-MD5、SHA-1）開発者ガイドsecurity

Bcrypt、Apache MD5（APR1）、SHA-1ハッシュに対応した安全なHTTP基本認証（.htpasswd）エントリを生成します。

ツールを開く→
JWTトークンデコーダー＆セキュリティインスペクターsecurity

JSON Web Token（JWT）をデコードし、ヘッダーとペイロードのクレームを解析。有効期限の自動計算や署名検証をブラウザ上で安全にローカル実行します。

ツールを開く→
高強度パスワード・パスフレーズ自動生成ツールsecurity

暗号論的擬似乱数生成器（Web Crypto CSPRNG）を用いた高エントロピーパスワード、覚えられるDicewareパスフレーズ、PIN、APIトークンをブラウザ内で瞬時に安全生成。NIST SP 800-63B準拠。

ツールを開く→
暗号学的ハッシュ値・チェックサム一括計算ツールsecurity

SHA-256、SHA-512、MD5、SHA-1、SHA-3、Keccak、CRC32をブラウザ内で瞬時に一括算出。Web Crypto APIによる100%クライアントサイド完結。

ツールを開く→
JSON Web Token (JWT) デバッガー＆署名検証ツールsecurity

HMAC (HS256/384/512) および RSA (RS256/384/512) 署名のデコード・構造検査・検証をブラウザ内メモリで100%完結。外部サーバー送信一切なし。

ツールを開く→