JWTとは何ですか?

JSON Web Token(JWT)は、ヘッダー、ペイロード、署名の3つの部分をピリオドで区切り、それぞれをBase64URLでエンコードしたコンパクトでURLセーフなトークン形式で、主に認証や情報交換に使われます。

このツールはトークンの署名を検証しますか?

いいえ。このツールはヘッダーとペイロードをデコードして内容を読めるようにするだけで、秘密鍵や公開鍵による署名の検証は行いません。入力欄の下と署名の横にある注記でも同じことを示しています。

exp、iat、nbfクレームはそれぞれ何を意味しますか?

iatはトークンが発行された時刻、nbfはトークンが有効になる最も早い時刻、expはトークンが失効する時刻です。いずれもUnixタイムスタンプ(1970年からの秒数)で、このツールが読みやすい日付に変換します。

本番環境の実際のトークンをここに貼り付けても安全ですか?

デコードは完全にブラウザ内で行われ、トークンがどこにも送信されないという意味では安全です。ただし、どこに貼り付けるとしても実際のトークンは秘密情報として扱ってください。持っている人は有効期限まで悪用できる可能性があるためです。

署名部分が読めないのはなぜですか?

署名はもともと人間が読めるものではなく、トークンが改ざんされていないことを検証するための暗号値です。このツールは署名を生のテキストとして表示しますが、デコードや検証は行いません。

トークンが「期限内」と表示されるのに、APIで拒否されるのはなぜですか？

このバッジはexpクレームを端末の時計と比べているだけです。署名がサーバーの鍵と一致しない、audやissクレームが違う、nbfがまだ未来の時刻、トークンが失効済み、サーバーの時計がずれている、といった場合はサーバーに拒否されます。