Ein JSON Web Token besteht aus drei Teilen, getrennt durch Punkte: Header, Payload und Signatur. Die ersten beiden sind lediglich Base64-kodiertes JSON — jeder kann sie lesen, ohne einen Schlüssel zu besitzen.
Genau das wird regelmäßig missverstanden. Ein JWT verbirgt nichts; die Signatur beweist nur, dass der Inhalt nicht verändert wurde. Wer ein Geheimnis in den Payload schreibt, veröffentlicht es.
Was in den Zeitfeldern steht
exp ist der Ablaufzeitpunkt, iat der Zeitpunkt der Ausstellung und nbf der früheste Zeitpunkt, ab dem das Token gilt. Alle drei sind Unix-Zeitstempel in Sekunden — nicht in Millisekunden, was eine verbreitete Fehlerquelle ist.
Fehlt exp, läuft das Token nie ab. Das ist bei Zugriffstoken fast immer ein Fehler: Wird ein solches Token abgegriffen, bleibt es dauerhaft gültig, denn zurückrufen lässt sich ein JWT ohne zusätzliche Sperrliste nicht.
Warum dieser Rechner die Signatur nicht prüft
Zum Prüfen braucht es das Geheimnis oder den öffentlichen Schlüssel des Ausstellers. Beides in ein Webformular einzutragen wäre ein Sicherheitsproblem, und deshalb dekodiert diese Seite ausschließlich.
Ein dekodiertes Token sagt also, was drinsteht, nicht ob es echt ist. Die Prüfung gehört auf den Server, mit einer Bibliothek und einer festen Vorgabe für den erlaubten Algorithmus — sonst öffnet man das bekannte Loch mit alg gleich none.