Descodificador de JWT

Não. Descodifica e mostra o cabeçalho e o payload. Verificar a assinatura precisa do segredo de assinatura ou da chave pública, que não deve colar em nenhuma ferramenta web.

Descodificar lê o cabeçalho e o payload em Base64url, que não estão cifrados. Verificar recalcula a assinatura com a chave para provar que o token é autêntico e não foi modificado.

A descodificação acontece inteiramente no seu navegador, por isso o token não é carregado. Ainda assim, trate tokens ativos como segredos e evite colá-los em computadores partilhados.

São claims padrão: iat é a hora de emissão, nbf é não-válido-antes e exp é a hora de expiração. O descodificador converte estes timestamps Unix em hora local legível.

Sim. A expiração não altera como um token é descodificado, por isso pode inspecionar os claims de um token expirado e ver exatamente quando caducou.

Um JWT é assinado, não cifrado. O payload está apenas codificado em Base64url, por isso qualquer pessoa o pode ler. Nunca coloque segredos no payload de um JWT.