O decodificador JWT usa o jwt-decode para ler o Header e o Payload do token no navegador e mostra os valores de iat, nbf e exp como data e tempo relativo a partir de segundos Unix. Ele só decodifica: não verifica a Signature de forma alguma, então nem "deu para ler" nem "exp ainda não venceu" significam que o token é válido e confiável.

1. 01Cole o JWT; o prefixo Bearer é aceito.
2. 02Veja as três partes coloridas e o JSON do Header e do Payload.
3. 03Se houver iat/nbf/exp, confira a data local e o tempo relativo, além do aviso de expirado ou ainda não válido.
4. 04Copie o JSON estruturado; quando precisar verificar a assinatura, faça isso no servidor ou com uma ferramenta específica que tenha a chave correta e a política de algoritmos adequada.

• O token precisa ser decodificável na estrutura Base64URL de JWT; formato errado mostra falha de análise.
• Não calcula nem verifica assinaturas HMAC/RSA/ECDSA, não checa se o alg é permitido e não valida declarações de negócio como iss/aud/sub.
• iat/nbf/exp só são interpretados como segundos Unix quando o valor é numérico; data em formato de string não é convertida automaticamente.
• A situação prioriza "expirado" e depois "ainda não válido"; fora disso, exibe apenas "válido" conforme os campos de tempo. Isso não é resultado de verificação criptográfica.
• O Payload de um JWT é codificado, não cifrado: quem tem o token normalmente consegue ler o conteúdo.

O token é decodificado apenas na memória do navegador e não é enviado a servidores; ainda assim, evite colar credenciais de produção em um dispositivo que não é seu.