Assinatura não verificada. As declarações decodificadas não são confiáveis.
Um JWT (JSON Web Token) é um formato de token compacto usado para autenticação. Tem três partes codificadas em Base64URL separadas por pontos: o header (algoritmo e tipo), o payload (claims como ID de usuário e expiração) e a assinatura (prova criptográfica de que o token não foi adulterado).
O processamento ocorre no navegador. Salvar e compartilhar é opcional, exige uma conta e envia o conteúdo escolhido para o nosso serviço.
HS256 usa uma chave secreta compartilhada (simétrica) — tanto o criador quanto o verificador precisam do mesmo segredo. RS256 usa um par de chaves pública/privada (assimétrico) — o criador assina com uma chave privada e qualquer um pode verificar com a chave pública. Use RS256 para APIs públicas.
A declaração numérica exp é comparada com a hora atual. A expiração não verificada não comprova a autenticidade do token. A decodificação, por si só, não verifica a assinatura.
Assina com HMAC HS256, HS384 e HS512; a decodificação não verifica assinaturas.
Payloads JWT são codificados em Base64, não criptografados — qualquer pessoa com o token pode decodificar e ler o conteúdo. Armazene apenas identificadores não sensíveis (ID de usuário, funções, expiração) em JWTs. Mantenha dados sensíveis no lado do servidor e referencie-os por ID.