Um JWT tem três partes: cabeçalho, conteúdo (payload) e assinatura, codificadas em base64url.
Decodificando
Use o decodificador JWT no navegador para ver as claims. Nunca confie em um conteúdo decodificado sem verificar a assinatura no servidor.
Resumo
JWTs são práticos para APIs; decodificar é didático, mas não é autorização.