Un JWT compacto son tres fragmentos de texto separados por puntos: una cabecera, una carga útil y una firma. La cabecera y la carga útil son JSON codificado en Base64URL. Cualquiera puede decodificarlas. La firma es lo que permite a un verificador decidir si esos bytes los produjo alguien que tiene la clave.
Qué muestra el decodificador
El Decodificador JWT imprime la cabecera, la carga útil y el segmento de firma en bruto. Establece signature_verified en false en cada resultado. Eso no es un fallo de la herramienta. La página no tiene la clave de firma y no debe fingir que la comprobó.
Si el algoritmo es none, o falta el segmento de firma, la línea de estado indica que el token no está autenticado. No envíes ese token a una API esperando que la API confíe en él.
Los claims son datos, no un veredicto
exp, iss y aud son útiles de leer. Ver una hora de caducidad no significa que el token esté vigente, porque la firma no se comprobó y el reloj de esta página no es una decisión de autorización. Usa un verificador en el sistema que tiene la clave cuando necesites un sí o un no.
No pegues un token de acceso de producción en un ordenador compartido. El decodificador se ejecuta en local, pero el dispositivo que usas aún puede recordar lo que escribiste.