exp ist ein NumericDate: Sekunden seit 1970-01-01T00:00:00Z ohne Schaltsekunden, keine Millisekunden (ein 13-stelliger Wert ist ein häufiger Fehler durch Date.now() in JavaScript). Das Token ist ungültig, sobald die aktuelle Zeit exp erreicht oder überschreitet; Verifizierer dürfen für Uhrabweichungen eine kleine Toleranz zulassen, meist ein bis zwei Minuten. Begleitende Claims sind nbf (nicht vor) und iat (ausgestellt am).
Halte Access Tokens kurzlebig (Minuten), weil sich Bearer Tokens nach der Ausstellung nicht zurückrufen lassen, und nutze für langlebigen Zugriff Refresh Tokens oder eine erneute Authentifizierung. Fehler wie jwt expired oder Signature has expired bedeuten, dass der Verifizierer exp mit seiner Uhr verglichen hat; prüfe beide Uhren, bevor du dem Aussteller die Schuld gibst.