Um JWT compacto são três pedaços de texto separados por pontos: um cabeçalho, uma carga útil e uma assinatura. O cabeçalho e a carga útil são JSON codificado em Base64URL. Qualquer pessoa os pode descodificar. A assinatura é o que permite a um verificador decidir se esses bytes foram produzidos por alguém que tem a chave.
O que o descodificador mostra
O Descodificador JWT imprime o cabeçalho, a carga útil e o segmento de assinatura em bruto. Define signature_verified como false em cada resultado. Isso não é uma falha da ferramenta. A página não tem a chave de assinatura e não deve fingir que a verificou.
Se o algoritmo for none, ou o segmento de assinatura estiver em falta, a linha de estado indica que o token não está autenticado. Não envie esse token para uma API à espera que a API confie nele.
Claims são dados, não um veredito
exp, iss e aud são úteis de ler. Ver uma hora de expiração não significa que o token esteja atual, porque a assinatura não foi verificada e o relógio desta página não é uma decisão de autorização. Use um verificador no sistema que tem a chave quando precisar de um sim ou não.
Não cole um token de acesso de produção num computador partilhado. O descodificador corre localmente, mas o dispositivo que está a usar ainda pode lembrar o que escreveu.