Decodificador de JWT

A decodificação por si só não verifica a autenticidade, já que o cabeçalho e o payload estão apenas codificados em base64url, não criptografados, e qualquer pessoa pode lê-los sem uma chave. Para verificar se um token foi realmente assinado pela parte esperada, use o campo opcional de verificação de assinatura abaixo, que suporta apenas o algoritmo HS256.

O HS256 usa um único segredo compartilhado tanto para assinar quanto para verificar, então esta ferramenta pode verificar uma assinatura usando apenas o segredo que você fornece. RS256, ES256 e outros algoritmos assimétricos assinam com uma chave privada e verificam com uma chave pública diferente, que esta ferramenta não coleta, portanto verificá-los de forma segura está fora do escopo aqui.

Essas são declarações de timestamp padrão do JWT, todas expressas como tempo Unix (segundos desde 1970). exp é quando o token expira, iat é quando foi emitido, e nbf ("not before") é o momento mais precoce em que o token é considerado válido. Esta ferramenta converte cada uma automaticamente em uma data legível.

Significa que a declaração exp no payload é um timestamp anterior ao horário atual, então um servidor que validasse corretamente este token o rejeitaria. Esta ferramenta verifica apenas a declaração e o relógio do seu dispositivo, não contata nenhum servidor.

O token é decodificado inteiramente no seu navegador e nunca é enviado para lugar nenhum, então colá-lo aqui é tão seguro quanto visualizá-lo na própria console de desenvolvedor do seu navegador. Dito isso, trate qualquer token com declarações sensíveis da mesma forma que trataria uma senha, e evite colar tokens em ferramentas em que você não confia.