Подпись не проверена. Декодированные данные недостоверны.
JWT (JSON Web Token) — компактный формат токена для аутентификации. Состоит из трёх частей в кодировке Base64URL, разделённых точками: заголовка (алгоритм и тип), нагрузки (claims: ID пользователя, срок действия) и подписи (криптографическое доказательство целостности токена).
Обработка выполняется в браузере. Сохранение и публикация добровольны, требуют учётной записи и отправляют выбранное содержимое в наш сервис.
HS256 использует общий секретный ключ (симметричный) — создателю и верификатору нужен один и тот же секрет. RS256 использует пару публичного/приватного ключей (асимметричный) — создатель подписывает приватным ключом, а любой может верифицировать публичным. Используйте RS256 для публичных API.
Числовое поле exp сравнивается с текущим временем. Непроверенное время истечения не подтверждает подлинность токена. Само декодирование не проверяет подпись.
Подпись HMAC HS256, HS384 и HS512; декодирование не проверяет подписи.
Payload JWT закодирован в Base64, но не зашифрован — любой, у кого есть токен, может декодировать и прочитать содержимое. Храните в JWT только нечувствительные идентификаторы (ID пользователя, роли, срок действия). Чувствительные данные держите на сервере и обращайтесь к ним по ID.