JWTデコーダー

ヘッダー、ペイロード、署名の3つで、それぞれbase64urlでエンコードされ、ドットでつながれています。ヘッダーは署名アルゴリズムを示し、ペイロードにはクレームが入り、署名によってサーバーはトークンの発行者を確認できます。

いいえ。ヘッダーとペイロードをデコードするだけで、署名のチェックは行いません。信頼する前に、シークレットまたは公開鍵を使ってサーバー側で検証してください。貼り付けたトークンはブラウザの外に出ません。

通常の署名付きJWTでは暗号化されていません。エンコードされているだけなので、トークンを持っていれば誰でも読めます。そのためパスワードや個人情報を入れるべきではありません。暗号化されたトークン（JWE）は5パーツで構成され、鍵が必要です。

いずれも1970年1月1日（UTC）からの秒数で表される時刻です。expはトークンの有効期限、iatは発行時刻、nbfはそれより前には受け付けてはならない時刻です。

expの時刻が端末の時計より前になっているためです。アクセストークンは5〜60分程度しか有効でないことが多いので、新しいトークンを取得し、パソコンの時計が正しく設定されているか確認してください。

JWTの形式そのもの、つまりドットでつながれた3つのbase64urlパーツと、iss、sub、exp、audといった標準クレームの意味を定めています。特定の署名アルゴリズムを要求するものではありません。

トークン自体は単なる署名付きデータなので、それ自体では無効化できません。早期に無効化するには、jtiクレームをキーにしたブロックリストや、短い有効期限と別のリフレッシュトークンの組み合わせなど、サーバー側での対応が必要です。

トークン内ではNumericDate値、つまりUnixエポック（1970年1月1日UTC）からの秒数として保存されているためです。このページでは分かりやすいように、生の数値の横に読みやすい日付も表示しています。