Из чего состоит JWT-токен?

Обычный подписанный JWT в компактном JWS-формате состоит из трёх частей через точку: header, payload с claims и signature.

Header описывает параметры защиты, payload — утверждения, например субъект и срок действия, а подпись защищает целостность. Base64url — кодирование, не шифрование: payload подписанного токена обычно читаем. Проверка должна ограничивать допустимые алгоритмы и валидировать нужные claims. Зашифрованный JWT в JWE имеет другой, пятичастный компактный формат.

Источник: datatracker.ietf.org.