Компактный JWT — три фрагмента текста через точки: заголовок, полезная нагрузка и подпись. Заголовок и нагрузка — JSON в кодировке Base64URL. Их может декодировать кто угодно. Подпись позволяет верификатору решить, были ли эти байты созданы владельцем ключа.
Что показывает декодер
Декодер JWT выводит заголовок, нагрузку и сырой сегмент подписи. Он ставит signature_verified в false для каждого результата. Это не сбой инструмента. У страницы нет ключа подписи, и она не должна притворяться, что его проверила.
Если алгоритм — none или сегмент подписи отсутствует, строка статуса говорит, что токен не аутентифицирован. Не отправляйте такой токен в API в расчёте на доверие.
Claims — это данные, а не вердикт
exp, iss и aud полезно прочитать. Увидеть время истечения не значит, что токен актуален: подпись не проверялась, а часы на этой странице — не решение об авторизации. Используйте верификатор в системе с ключом, когда нужен ответ да или нет.
Не вставляйте продакшен-токен доступа на общем компьютере. Декодер работает локально, но устройство всё равно может запомнить то, что вы ввели.