Decodificador de JWT

Não. Decodifica e exibe o cabeçalho e o payload. Verificar a assinatura requer o segredo de assinatura ou a chave pública, que você não deve colar em nenhuma ferramenta web.

Decodificar lê o cabeçalho e o payload em Base64url, que não são criptografados. Verificar recalcula a assinatura com a chave para provar que o token é autêntico e não foi modificado.

A decodificação acontece inteiramente no seu navegador, então o token não é enviado. Mesmo assim, trate tokens ativos como segredos e evite colá-los em computadores compartilhados.

São claims padrão: iat é issued-at (emitido em), nbf é not-valid-before (não válido antes de) e exp é o tempo de expiração. O decodificador converte esses timestamps Unix para horário local legível.

Sim. A expiração não muda como um token é decodificado, então você pode inspecionar as claims de um token expirado e ver exatamente quando ele venceu.

Um JWT é assinado, não criptografado. O payload é apenas codificado em Base64url, então qualquer pessoa pode lê-lo. Nunca coloque segredos no payload de um JWT.