Explicador de claims JWT

Um JWT tem três partes separadas por ponto: cabeçalho, payload e assinatura. As duas primeiras são apenas base64url — não são criptografia. Isso significa que qualquer pessoa com o token em mãos lê o conteúdo, e é a razão de nunca colocar senha, documento ou dado sensível no payload. A assinatura não esconde nada; ela só garante que ninguém alterou o que está escrito.

Cole o token e a página decodifica o payload, lista as claims registradas com a explicação de cada uma e converte os campos de tempo para data legível. O exp ganha ainda o veredito: expirado, ou quantos minutos ainda restam. Claims que não fazem parte do conjunto registrado — role, tenant, email, scope — aparecem listadas à parte, como claims públicas ou privadas.

Duas coisas ficam de fora, por decisão de escopo. A assinatura não é verificada: para isso seria preciso a chave secreta ou a chave pública do emissor, e nada disso deve viajar até uma página. E a leitura é local, no seu navegador — nenhum token é enviado a servidor algum, o que importa porque um JWT colado numa ferramenta online é, na prática, uma credencial exposta. Ainda assim, evite colar aqui um token de produção que continue válido.