El decodificador JWT usa jwt-decode para leer en el navegador el Header y el Payload de un token, y muestra los valores iat, nbf y exp como fecha y tiempo relativo a partir de los segundos Unix. Solo decodifica: no verifica la Signature en absoluto, así que ni "se puede leer" ni "exp no ha caducado" significan que el token sea válido y fiable.

1. 01Pega el JWT; puede llevar el prefijo Bearer .
2. 02Mira las tres partes coloreadas y el JSON del Header y del Payload.
3. 03Si hay iat/nbf/exp, consulta la fecha local y el tiempo relativo, y el aviso de caducado o aún no válido.
4. 04Copia el JSON estructurado; cuando necesites verificar la firma, hazlo en el servidor o con una herramienta específica que tenga la clave y la política de algoritmos correctas.

• El token debe poder decodificarse con la estructura Base64URL de JWT; si el formato es incorrecto, se muestra un fallo de análisis.
• No calcula ni verifica firmas HMAC/RSA/ECDSA, no comprueba si alg está permitido y tampoco valida declaraciones de negocio como iss/aud/sub.
• iat/nbf/exp solo se interpretan como segundos Unix si son de tipo numérico; las fechas en forma de cadena no se convierten automáticamente.
• El estado da prioridad a "caducado" y después a "aún no válido"; si no, solo muestra "válido" según los campos de tiempo. No es un resultado de verificación criptográfica.
• El Payload de un JWT está codificado, no cifrado: cualquiera que tenga el token suele poder leer su contenido.

El token se decodifica solo en la memoria del navegador y no se envía a ningún servidor; aun así, evita pegar credenciales de producción en un dispositivo que no sea de confianza.