Pega un JWT para ver su cabecera y sus claims. Las fechas de caducidad y emisión se convierten a un formato legible y los claims registrados vienen explicados. El token permanece en tu navegador.
Todo ocurre en tu navegador. Esta página es un archivo estático. Lo que escribes se queda en la pestaña, nunca se envía a un servidor y desaparece al cerrarla, así que puedes pegar un token o una configuración real sin riesgo.
Cabecera, payload y firma, separados por puntos.
exp son segundos desde la época Unix, no milisegundos. Un valor en milisegundos cae en el año 55000 y es un error frecuente.
Las bibliotecas que respetan alg: none aceptan tokens falsificados. Fija siempre el algoritmo esperado en el servidor.
Un JWT va firmado, no cifrado. Cualquiera que tenga el token puede leer todos los claims, exactamente como hace esta página. Nunca metas información confidencial.
Decodificar no demuestra nada sobre la autenticidad. Un token puede ser perfectamente legible y estar completamente falsificado; solo la verificación de la firma en tu servidor lo resuelve.
Si un token caduca "al instante", compara el claim iat con el reloj de tu servidor. Unos minutos de desfase entre máquinas rechazan tokens por lo demás válidos.
No. La página es estática y la decodificación ocurre en tu navegador con un análisis de Base64 y JSON. Nada se registra ni se transmite, y puedes confirmarlo en el panel de red.
La verificación necesita el secreto de firma o la clave pública del emisor. Pegar un secreto de firma de producción en una página web sería una costumbre mucho peor que cualquier comodidad que aporte.
exp es cuándo deja de aceptarse el token; nbf es cuándo empieza. Un token emitido por adelantado puede tener un nbf futuro y será rechazado hasta entonces.