El Encabezado y la Carga útil de un JWT solo están codificados en base64, no cifrados — cualquier persona con el token puede leerlos. Sin embargo, para tokens sensibles, toda la decodificación se realiza en su navegador sin enviar datos a ningún servidor.