Decodificador JWT

Não. O cabeçalho e o payload de um JWT são apenas JSON codificado em base64url, legível por qualquer pessoa sem nenhum segredo, esta ferramenta apenas decodifica essa parte. Verificar a assinatura requer o segredo ou chave pública do emissor e é uma etapa separada, deliberadamente omitida aqui.

A decodificação acontece inteiramente no seu navegador usando JavaScript, o token nunca é enviado a um servidor. Dito isso, como hábito geral, evite colar tokens ativos (especialmente com dados sensíveis) em qualquer ferramenta web, decodifique um exemplo ou token expirado quando possível.

Os JWTs são assinados, não criptografados, por design. A assinatura prova que o token não foi adulterado, mas o payload em si é claramente visível para qualquer pessoa que tenha o token. Nunca coloque segredos ou dados pessoais sensíveis diretamente em um payload JWT.