JWTシークレット監査・脆弱鍵診断 開発者ガイド

オフライン弱鍵辞書監査テスト

Calculates HMAC signatures offline using Web Crypto against 106 top breach passwords.

Decoded Token Header
{
  "alg": "HS256",
  "typ": "JWT"
}
Decoded Token Payload
{
  "sub": "1234567890",
  "name": "Alice",
  "role": "admin",
  "iat": 1516239022
}
検出アルゴリズムHS256
辞書ワード数106 Keys
監査ステータスReady
ローカル検査時間-

100% Offline Cryptography

HMAC calculations run using the Web Crypto API strictly within browser memory. Your production tokens and signatures never touch the network.

Full HMAC Spec Support

Accurately checks HS256, HS384, and HS512 tokens using standard Base64url signature encoding and binary digest comparisons.

Curated Wordlist Defense

Contains the top 100+ most commonly abused default and framework secrets found across real-world security breaches.

技術リファレンス＆アーキテクチャガイド

JWTシークレット監査・脆弱鍵診断 開発者ガイド — リファレンスガイド

JWTトークンのHMAC署名に対する弱鍵（既知の推測可能パスワード）のオフライン辞書照合、暗号強度検証および署名偽造対策リファレンス。

主要パラメータ＆設定項目

tokenstring (JWT形式)

ヘッダー・ペイロード・HMAC署名から構成される対象JWT。

wordlistarray<string>

辞書攻撃テスト用の頻出弱パスワード・デフォルトキー一覧。

algorithmenum ('HS256' | 'HS384' | 'HS512')

ヘッダーで指定された対称暗号HMACハッシュアルゴリズム。

プロの活用テクニック＆推奨設定

HMAC-SHA256の本番環境用シークレットは、最低でも256ビット（32バイトの完全ランダム値）を確保してください。

辞書に載っている英単語をシークレットに使用すると、現代のGPUを用いた総当たり攻撃で瞬時に解読されます。

複数のマイクロサービス間でJWTを検証する場合は、共有秘密鍵ではなく非対称鍵（RS256やEdDSA）の採用を推奨します。

よくあるトラブルと解決策

当ツールは対称暗号HMAC（HS256, HS384, HS512）に対応しています。RS256などの非対称暗号は公開鍵暗号をご利用ください。

シークレットがプレーンテキスト文字列か、Base64エンコードされたバイナリ列かを確認してください。

よくある質問 (FAQ)

入力したJWTトークンが外部サーバーに漏洩することはありますか？▼

絶対にありません。ブラウザ標準のWeb Crypto API（crypto.subtle）を用いて100%クライアント内でHMAC計算を行います。

辞書監査はどのくらいの速度で完了しますか？▼

主要な100件以上の頻出弱キー照合をわずか数ミリ秒〜数十ミリ秒で超高速に完了します。

どのような弱キーが検査されますか？▼

セキュリティ侵害で頻繁に発見される「secret」「password」「123456」「jwt_secret」などのデフォルト設定です。

自分が疑っている任意のシークレットを個別に検証できますか？▼

はい。「候補シークレット検証」欄に入力することで、その文字列が署名と合致するか即座に判定できます。

関連するおすすめ開発ツール

すべてのツール →
SSH公開鍵指紋計算 & Randomart可視化 開発者ガイドsecurity

OpenSSH公開鍵（RSA、Ed25519、ECDSA）のバイナリ構造解析、SHA-256・MD5フィンガープリント算出、およびOpenSSH公式「酔いどれ司教」ASCII Randomartアルゴリズムの技術仕様。

ツールを開く→
Punycode・国際化ドメイン変換 開発者リファレンスsecurity

RFC 3492およびRFC 5891準拠の国際化ドメイン名（IDN）とASCII Punycode（xn--）の相互変換仕様、ホモグラフ攻撃検知の解説書です。

ツールを開く→
HTTPヘッダー解析・診断 開発者リファレンスsecurity

未加工のHTTPリクエスト/レスポンスヘッダーの構文解析、Cache-Controlキャッシュ診断、セキュリティヘッダー評価、Cookie属性解読の技術解説書です。

ツールを開く→
EFF Diceware パスフレーズ仕様書 & 情報エントロピー技術ガイドsecurity

EFF公式の7,776語Diceware単語リスト、区切り文字、シャノンエントロピー計算および総当たり耐性評価の技術リファレンス。

ツールを開く→
JWTトークンデコーダー＆セキュリティインスペクターsecurity

JSON Web Token（JWT）をデコードし、ヘッダーとペイロードのクレームを解析。有効期限の自動計算や署名検証をブラウザ上で安全にローカル実行します。

ツールを開く→
高強度パスワード・パスフレーズ自動生成ツールsecurity

暗号論的擬似乱数生成器（Web Crypto CSPRNG）を用いた高エントロピーパスワード、覚えられるDicewareパスフレーズ、PIN、APIトークンをブラウザ内で瞬時に安全生成。NIST SP 800-63B準拠。

ツールを開く→