¿Qué es un JWT?

Un JSON Web Token (JWT) es un formato de token compacto y seguro para URLs, compuesto por tres partes codificadas en Base64URL — cabecera, payload y firma — separadas por puntos, usado habitualmente para autenticación e intercambio de información.

¿Esta herramienta verifica la firma del token?

No. Esta herramienta solo decodifica el encabezado y la carga útil para que puedas leer su contenido; no comprueba la firma con una clave secreta o pública. Las notas bajo el cuadro de entrada y junto a la firma lo recuerdan.

¿Qué significan los claims exp, iat y nbf?

iat es el momento en que se emitió el token, nbf es el momento más temprano en que es válido, y exp es cuándo caduca. Los tres son marcas de tiempo Unix (segundos desde 1970), que esta herramienta convierte en una fecha legible.

¿Es seguro pegar aquí un token real de producción?

Sí, en el sentido de que la decodificación ocurre completamente en tu navegador y el token nunca se envía a ningún sitio — pero trata cualquier token real como un secreto sin importar dónde lo pegues, ya que cualquiera que lo tenga podría usarlo hasta que caduque.

¿Por qué no puedo leer la parte de la firma?

La firma no está pensada para ser legible por humanos — es un valor criptográfico que sirve para verificar que el token no ha sido manipulado. Esta herramienta la muestra como texto sin procesar, pero no intenta decodificarla ni verificarla.

¿Por qué mi token aparece como «No caducado» pero mi API lo sigue rechazando?

La etiqueta solo compara el claim exp con el reloj de tu dispositivo. Un servidor puede rechazar el token si la firma no coincide con su clave, si el claim aud o iss es incorrecto, si nbf aún está en el futuro, si el token fue revocado o si el reloj del servidor difiere del tuyo.