Decodificador JWT

Não, e nenhuma ferramenta rodando no navegador pode fazer isso. A verificação requer o segredo ou a chave pública do emissor. Esta ferramenta mostra o que o token diz, não se ele é genuíno. Sempre verifique assinaturas no seu servidor antes de confiar no conteúdo do token.

A decodificação acontece completamente no seu navegador e nada é transmitido, então esta página nunca vê seu token. Dito isso, trate qualquer JWT como uma credencial ativa: se não expirou, quem o possui geralmente pode agir como você, então evite colar tokens de produção em ferramentas que não comprovou serem apenas do lado do cliente.

Não. Ele é codificado em base64url, que pode ser revertido facilmente e não é medida de segurança. Nunca coloque senhas, números de cartão ou qualquer dado sensível no payload JWT, porque qualquer pessoa com o token pode ler.

São claims de tempo registrados medidos em segundos desde 1970. exp é quando o token deixa de ser válido, iat quando foi emitido e nbf o momento mais cedo em que pode ser usado. Esta ferramenta converte os três em datas reais e mostra há quanto tempo ou quão no futuro eles ocorrem.

Na maioria das vezes porque não é realmente um JWT, ou porque um copiar-colar pegou espaços em branco ou cortou o token. Um JWT tem exatamente três partes separadas por pontos. Se contar diferente, a string está incompleta ou é um formato de token diferente.