認証トラブルシューティング

JWT デバッガー

JWT は読めるのに 401 になる原因を調べます。期待する issuer / audience と比較し、時間 claims、scope、role を確認します。

JWT トークン

期待する issuer（任意）

期待する audience（任意）

許容 clock skew（秒）

トークンと期待値はブラウザ内で評価します。

読める JWT が認証に失敗する理由

デコードは中身を見えるようにするだけです。期限切れ、nbf、issuer 不一致、audience 不一致なら API は拒否できます。

認証後に必要な scope、role、権限が足りない場合は 403 になることもあります。API 側設定と token の値を比較します。

ここでは署名を検証しません。claims が正しそうなら、アプリが実際に信頼する鍵で署名を確認します。

期限切れ、issuer/audience 不一致、署名無効、まだ有効でない、Authorization header の形式不良。

認証は成功しても必要な scope、role、リソース権限が不足している場合。

alg=none、想定外 alg、token 指定 key URL、不審な kid、時間 claims、issuer/audience mismatch を確認します。

2 つの JWT を比較し、refresh・login・環境変更・key rotation 前後の header/payload 差分を確認します。

実行時に JWT が拒否されるときに確認します。

認証失敗を上から切り分ける流れです。

別 API 向け token かどうかを確認します。

信頼する発行者と token の iss を照合します。

期限切れを他の認証問題と分けて処理します。