Токен
Заголовок
—
Полезная нагрузка
—
Стандартные поля
Подпись
Подпись HS256 — это HMAC-SHA256 от строки «заголовок.нагрузка», где ключом служит секрет. Инструмент считает её заново вашим секретом и сравнивает с третьей частью токена: совпало — значит секрет верный и содержимое не меняли после подписания. Считается локально через SubtleCrypto, секрет никуда не уходит. RS256 и другие алгоритмы с ключевой парой здесь не проверяются: для них нужен открытый ключ, и это отдельная работа. Заголовок и нагрузку такого токена страница разберёт — не сойдётся только подпись.
Частые вопросы
Токен уходит на сервер?
Нет. Разбор и проверка подписи считаются в браузере через SubtleCrypto, тело токена и секрет не покидают страницу — это видно в исходном коде и в панели «Сеть».
Какие алгоритмы подписи проверяются?
HS256 — по введённому секрету. Для RS256 и других алгоритмов с ключевой парой нужен открытый ключ, подпись не проверяется, но заголовок и payload разбираются полностью.
Почему токен просрочен, хотя приложение его принимает?
Поле exp — это Unix-время в секундах в UTC. Сравнивайте его с временем сервера, а не с локальным: расхождение часов даёт ложную картину.