// 無料セキュリティツール
JWTセキュリティ監査
JSON Web Tokenを貼り付けるだけで、その場でセキュリティ監査を実行します。JWTセキュリティ監査は、アルゴリズム、署名の設定、クレーム、有効期限を確認し、攻撃者が実際に悪用する弱点を検出したうえで、それぞれの修正方法を説明します。解析はサーバー上のメモリ内で完結し、トークンが保存・ログ記録・送信されることはありません。
JWT監査で確認する項目
- アルゴリズムのリスク：
alg=none、HS／RSのアルゴリズム混同、脆弱または非推奨のアルゴリズム。 - 署名の設定：検証の欠落、
kidおよびjkuヘッダーのインジェクション経路。 - クレームの健全性：有効期限（
exp）の欠落や過度に長い設定、nbf／iatの問題、audienceとissuerの不備。 - 秘密鍵の強度の兆候：短い、または推測されやすいHMAC秘密鍵の兆候。
結果の読み方
各検出項目には深刻度が付き、その背景にある弱点に対応づけられ、1行の修正方針が示されます。Critical と High の項目（署名バイパス、有効期限の欠落）は、リリース前に必ず解消すべきものとして扱ってください。
よくある修正方法
- 想定するアルゴリズムをサーバー側で1つに固定してください。トークンのヘッダーにアルゴリズムを選ばせてはいけません。
- 短い
expを必ず設定し、issとaudを検証してください。 - HMACには長くエントロピーの高い秘密鍵を使うか、鍵管理を厳格にしたうえで非対称鍵を使用してください。
よくあるご質問
ここにトークンを貼り付けても安全ですか。
はい。トークンはレポートを生成するためにメモリ上で解析されるだけで、保存・ログ記録・第三者への送信は一切行われません。とはいえ本番のトークンは機密情報として扱い、公開の場に貼り付けたものは失効させてください。
alg=none の脆弱性とは何ですか。
サーバーがアルゴリズムを none に設定したJWTを受け入れてしまうと署名が検証されず、攻撃者が任意のトークンを偽造できます。本ツールはこの問題と、アルゴリズム混同のリスクを検出します。
署名の検証も行いますか。
トークンの構造、ヘッダー、クレーム、設定を検査します。お客様の秘密鍵は必要ありません。鍵を総当たりで解析するのではなく、検証設定が脆弱または欠落している点を指摘します。
FreeとProの違いは何ですか。
Freeでは主要なチェックを月1回までご利用いただけます。Proでは月100回まで利用でき、履歴の保存とレポートのエクスポートもご利用いただけます。
関連する無料ツール
How to use JWT Security Auditor
マニュアルと実例 — inputs, output, limits, what it does not do, and a worked example.
Open the reference →