Проверяет ли инструмент подпись JWT?

Нет. Декодирование извлекает header и payload — они не зашифрованы. Проверка подписи требует секретного или публичного ключа и не выполняется — инструмент только разбирает содержимое токена.

Безопасно ли вставлять мой JWT сюда?

Да. Всё работает в вашем браузере. Токен не покидает устройство. Тем не менее относитесь к JWT как к паролю — любой, у кого он есть, может выдать себя за вас до истечения срока.

Из чего состоит JWT?

Из трёх частей: header, payload и signature, разделённых точками. Header описывает алгоритм и тип. Payload содержит claims (ID пользователя, роли, срок действия и т.д.). Signature подтверждает, что токен не был изменён.

Почему мой токен помечен как истёкший?

Claim exp задаёт время истечения. Если exp раньше текущего времени, сервер не должен принимать токен. Некоторые сервисы допускают небольшую задержку — это зависит от конкретного сервера.

Чем декодирование отличается от проверки подписи?

Декодирование — это просто Base64URL-декодирование, header и payload может прочитать любой. Проверка пересчитывает подпись с использованием секрета (HMAC) или публичного ключа (RSA/ECDSA) и подтверждает, что токен не подделан и не изменён. Никогда не доверяйте декодированному JWT, пока он не проверен.

Где обычно хранится JWT на клиенте?

Два распространённых варианта: в памяти (безопаснее всего, но теряется при обновлении) и в httpOnly cookie (защищено от XSS, но требует защиты от CSRF). localStorage используется часто, но уязвим к любой XSS-атаке — избегайте его для чувствительных приложений.

JWT Decoder

Вставьте JWT и увидите header, payload, подпись и срок действия в одном представлении. Показывает, действителен токен или истёк. Всё работает в браузере — ничего не логируется, не сохраняется и не отправляется.

Как пользоваться

Вставьте JWT

Токен из трёх Base64URL-частей, разделённых точками.

Посмотрите header

Видно алгоритм и тип токена.

Посмотрите payload

Видно claims: ID пользователя, роли, срок действия, дату выдачи и произвольные данные.

Проверьте срок

Видно, действителен токен или истёк.

JWT-токен

Возможности

Header, payload и подпись

Все три части JWT декодируются и отображаются.

Проверка срока

Показывает, действителен ли токен, с точным временем истечения.

Дата выдачи

Видно, когда токен был выпущен.

Отображение алгоритма

Видно алгоритм подписи, использованный в токене.

Типичные сценарии

Отладить токен аутентификации из API
Проверить срок действия JWT
Посмотреть claims без проверки подписи
Разобраться в структуре JWT