SSL証明書とJSON Web Token (JWT) の安全な組み合わせ方

はじめに

近年、Webアプリケーションにおける認証・認可の仕組みとして「JSON Web Token（JWT）」が広く使われています。JWTは利便性が高い一方で、適切なセキュリティ対策が必須です。その中でも、SSL証明書との組み合わせは特に重要です。この記事では、SSLとJWTを安全に組み合わせる方法について、初心者向けにわかりやすく解説します。

ESET

￥9,000（2025/10/28 10:37時点）

JWTとは？

JWTは、JSON形式でデータをやり取りする際のトークン規格です。3つの部分で構成されます：

ヘッダー
ペイロード（データ本体）
署名

これにより、ユーザー認証情報や権限を安全にクライアント側に持たせることができます。

なぜSSLが必要なのか？

JWTは自体に署名機能があり、改ざんを防ぐことができますが、「盗聴防止」の機能はありません。HTTP通信でJWTをやり取りすると、悪意ある第三者に盗まれるリスクが高まります。そのため、**通信経路の暗号化（SSL/TLS）**が必須です。

安全な組み合わせ方

1. HTTPSを強制

全てのAPIエンドポイントでHTTPSを必須にします。HSTSも併用するとさらに強固です。

2. トークンの有効期限を短く設定

長期間有効なトークンはリスクが高まるため、数十分～数時間で期限切れに設定します。

3. JWTの署名アルゴリズムを強化

HS256よりも安全性の高いRS256（公開鍵暗号方式）を推奨します。

4. ストレージの見直し

JWTは通常、ブラウザのLocalStorageやSessionStorageに保存されますが、XSS攻撃対策として、可能ならHTTP Onlyクッキーに保存するのが理想です。

5. リフレッシュトークンの併用

アクセストークンは短命に、リフレッシュトークンで新規発行できる設計が望ましいです。

実装のポイント（例：Node.js）

const jwt = require('jsonwebtoken');
const privateKey = fs.readFileSync('./private.key');

// トークン生成
const token = jwt.sign({ userId: 123 }, privateKey, { algorithm: 'RS256', expiresIn: '1h' });

// トークン検証
jwt.verify(token, publicKey, (err, decoded) => {
    if (err) return res.sendStatus(403);
    console.log(decoded);
});