JWT 署名検証 — HMAC / RSA / ECDSA 対応
WebCrypto で JWT の署名を検証します。HS / RS / PS / ES の各 SHA-256/384/512 に対応。HMAC は共通鍵文字列、RSA / ECDSA は SPKI 形式の PEM 公開鍵か JWK を入力するだけ。exp / nbf もあわせてチェックします。鍵もトークンもサーバへ送信されません。
使い方
検証したい JWT と、対応する秘密鍵を入力します。HS256 / 384 / 512 はテキストの共通鍵、RS / PS / ES の各 SHA-256 / 384 / 512 は SPKI 形式 PEM 公開鍵か JWK を貼り付けてください。アルゴリズムは Header の alg から自動推定しますが手動指定も可能。「検証」を押すと WebCrypto が署名を検証し、合わせて exp / nbf の期限もチェックします。
よくある質問
- 鍵や JWT は外部に送信されますか?
- いいえ。検証はすべて WebCrypto API を使ってブラウザ内で行います。鍵もトークンも端末外には出ません。
- 対応アルゴリズムは?
- HS256 / 384 / 512、RS256 / 384 / 512、PS256 / 384 / 512、ES256 / 384 / 512 です。none や独自アルゴリズムは未対応。
- なぜ Invalid key になる?
- HMAC の場合は鍵文字列をそのままバイト列として使います。RSA / ECDSA は SPKI PEM (-----BEGIN PUBLIC KEY-----) か JWK 形式である必要があります。X.509 証明書 PEM はそのままでは使えないので、公開鍵だけを抽出してください。
- exp 切れだけど署名は正しい場合、結果はどう表示?
- 「署名 OK」「タイミング: 期限切れ」のように、署名検証と時間検証は別表示されます。トークン採用可否はユースケースで判断してください。
類似のツール
JWT 生成 (署名) — HMAC / RSA / ECDSA を Web Crypto で
JWT (JSON Web Token) を Web Crypto API でブラウザ内のみで生成 (署名) するツール。HS256 / HS384 / HS512 (HMAC 共通鍵)、RS256 / RS384 / RS512 (RSASSA-PKCS1-v1_5)、PS256 / PS384 / PS512 (RSA-PSS)、ES256 / ES384 / ES512 (ECDSA P-256/P-384/P-521) に対応。Header / Payload を JSON で入力 (`exp` / `iat` / `nbf` の自動補完オプションあり)、鍵は HMAC は文字列、非対称鍵は PKCS#8 PEM または JWK で入力。出力は標準的な `header.payload.signature` 形式の JWT で、jwt-decode / jwt-verify ツールにそのまま貼り付けて確認可能。秘密鍵も payload もネットワークに送信されません。
JWT デコード — header / payload を可読化
JWT を貼り付けて Header / Payload / Signature に分解。exp / iat / nbf などの数値クレームは人間可読な日時に変換して表示。署名検証は行いません (内容確認専用)。すべてブラウザ内で処理。
ハッシュ生成 — SHA-1 / 256 / 384 / 512
テキストから SHA-1 / SHA-256 / SHA-384 / SHA-512 のハッシュ値を一括生成します。Web Crypto API ベースでブラウザ内処理。
HTML サニタイズ — XSS 防御 (script / on* / javascript:)
DOMPurify でユーザー投稿 HTML から XSS 攻撃ベクター (script 要素・on* イベントハンドラ・javascript: URL・data: URL の不正利用・iframe など) を取り除きます。厳格 / 標準 / 許容の 3 モードでプロファイルを切替可能。CMS や掲示板に渡す前のサニタイズ、Markdown→HTML 変換結果の安全化、ブログ移行時のレガシー HTML 清掃などに。すべてブラウザ内で完結し、HTML は外部に送信されません。