Un JWT tiene tres partes: encabezado, contenido (payload) y firma, codificadas en base64url.
Decodificar
Usa el decodificador JWT en el navegador para revisar los claims. Nunca confíes en un contenido decodificado sin verificar la firma en el servidor.
Resumen
Los JWT son prácticos para las API; decodificarlos es didáctico, pero no es autorización.