API

JWT no está cifrado, es solo Base64

¿Quién puede ver lo que hay dentro del token JWT que se envía en cada solicitud de tu app? Respuesta: cualquiera. Qué guardan realmente los tokens, por qué basta con verificar la firma y 4 cosas que nunca debes poner en el payload.