Cole um JWT para ver seu cabeçalho e suas claims. Os horários de expiração e emissão são convertidos em datas legíveis e as claims registradas vêm explicadas. O token permanece no seu navegador.
Tudo acontece no seu navegador. Esta página é um arquivo estático. O que você digita fica na aba, nunca é enviado a um servidor e some quando você fecha — então colar um token ou uma configuração real é seguro.
Cabeçalho, payload e assinatura, separados por pontos.
exp são segundos desde a época Unix, não milissegundos. Um valor em milissegundos cai no ano 55000 e é um bug comum.
Bibliotecas que honram alg: none aceitam tokens forjados. Sempre fixe o algoritmo esperado no servidor.
Um JWT é assinado, não criptografado. Quem tem o token consegue ler todas as claims, exatamente como esta página faz. Nunca coloque nada confidencial nele.
Decodificar não prova nada sobre autenticidade. Um token pode ser perfeitamente legível e completamente forjado; só a verificação da assinatura no seu servidor resolve isso.
Se um token expira "na hora", compare a claim iat com o relógio do seu servidor. Alguns minutos de diferença entre máquinas já rejeitam tokens válidos.
Não. A página é estática e a decodificação acontece no seu navegador com um parse de Base64 e JSON. Nada é registrado ou transmitido, o que você pode confirmar no painel de rede.
A verificação exige o segredo de assinatura ou a chave pública do emissor. Colar um segredo de assinatura de produção em uma página web seria um hábito muito pior do que qualquer comodidade que traga.
exp é quando o token deixa de ser aceito; nbf é quando ele passa a ser. Um token emitido com antecedência pode ter um nbf no futuro e será rejeitado até lá.