Header und Payload eines JWT sind nur base64url-kodiert, jeder kann sie lesen. Ob das Token echt ist, zeigt erst die Prüfung der Signatur. Das Token wird nur in diesem Browser verarbeitet, nicht gesendet und nicht gespeichert.
JWT-Decoder
JSON Web Tokens lesen: Header, Inhalt und Ablaufzeit
Dekodieren ist nicht Prüfen