Assinatura não verificada. As declarações descodificadas não são fiáveis.
Um JWT (JSON Web Token) é um formato de token compacto utilizado para autenticação. Tem três partes codificadas em Base64URL separadas por pontos: o header (algoritmo e tipo), o payload (claims como ID de utilizador e expiração) e a assinatura (prova criptográfica de que o token não foi adulterado).
O processamento decorre no navegador. Guardar e partilhar é opcional, exige uma conta e envia o conteúdo escolhido para o nosso serviço.
HS256 utiliza uma chave secreta partilhada (simétrica) — tanto o criador como o verificador precisam do mesmo segredo. RS256 utiliza um par de chaves pública/privada (assimétrico) — o criador assina com uma chave privada e qualquer um pode verificar com a chave pública. Use RS256 para APIs públicas.
A declaração numérica exp é comparada com a hora atual. A expiração não verificada não comprova a autenticidade do token. A descodificação, por si só, não verifica a assinatura.
Assina com HMAC HS256, HS384 e HS512; a descodificação não verifica assinaturas.
Os payloads JWT são codificados em Base64, não cifrados — qualquer pessoa com o token pode descodificar e ler o conteúdo. Armazene apenas identificadores não sensíveis (ID de utilizador, funções, expiração) em JWTs. Mantenha os dados sensíveis do lado do servidor e referencie-os por ID.