Sentrint — 貼った内容が外に送られない、登録不要のJWTデコーダ動いた

JWTの中身を読む、.envから漏れている鍵を探す、CSPを採点する、といった開発者向けのセキュリティ道具7つ。登録不要で、貼った内容がブラウザから外へ出ないことを実際の通信記録で確かめた。

配布元: https://sentrint.com/tools 　／　2026-09-09 時点で確認

この日に実際に動かした結果です。内容の誤りに気づかれた場合はお問い合わせください。確認のうえ訂正します。

掲載した画面は Sentrint のものです。手順の説明に必要な範囲を引用しています。

使い方

やること：JWTを貼って中身を読み、その作りに問題がないか検査する。

1. sentrint.com/tools を開く。登録もログインも要らない。

   Six security tools that never see your data と出て、JWT debugger など7つが並ぶ。

   

2. JWT debugger を開き、入力欄にトークンを貼る。

   eyJhbGciOiJub25lIiwidHlwIjoiSldUIn0.eyJzdWIiOiJ0YW1lc2hpdGEifQ.

   貼った瞬間に HEADER と PAYLOAD が復号されて表示される。ボタンを押す必要はない。

   

3. 下へスクロールして CHECKS の欄を見る。

   危ない作りが理由付きで並ぶ。署名なしのトークンなら alg is “none” が赤で出る。

   

通した結果

alg を none にしたトークンで、警告が3つ出た。

使ってみて良かった点

• 登録もログインも要らない。開いてすぐ貼れる
• 貼った内容が外に出ないのは本当だった。入力しても通信が1件も発生しない（下記の確認方法参照）
• ボタンを押す手順が無い。貼った時点で結果が出る
• 警告に理由と対処が添えてある。alg:none なら「サーバ側で拒否して、期待するアルゴリズムを固定しろ」まで書いてある
• JWTの前2つは暗号化ではなく符号化にすぎない、という前提も画面に書いてある

使ってみて不便だった点

• 日本語がない。警告の文面も全部英語で、ここが一番読ませたい部分なのは惜しい
• アクセス解析に外部サービス（PostHog）を使っている。貼った内容とは無関係だが、外部への通信が皆無というわけではない
• 画面に v0.9 BETA と出ており、仕様が変わる可能性がある

登録まわり（実際に試した結果）

無料で使える範囲

7つのツールはすべて登録なしで無制限に使えた。ヘッダーに SIGN IN と PRICING があり、リポジトリ全体を走査する有料の機能は別にあるが、この無料ツール群を使う分には一度も登録を求められなかった。

実際にやってみたこと

JWTを2回貼って復号し、署名なし（alg:none）のトークンに対して「署名が無いので誰でも書き換えられる」「有効期限が無い」「発行時刻が無い」の3点が理由付きで警告されるところまで確認した。あわせて通信記録を消してから貼り直し、入力によって外部への通信が発生しないことを確かめた。

詰まった点