Можно ли хранить секреты в payload JWT?

В обычном подписанном JWT секреты хранить нельзя: payload закодирован, но не зашифрован и читается владельцем токена. Подпись защищает целостность, а не конфиденциальность.

Оставляйте только необходимые claims и учитывайте, что токен может попасть в клиентское хранилище или диагностические системы. Пароли и приватные ключи не должны быть частью payload. Для конфиденциальных данных обычно лучше серверное хранение с непрозрачным идентификатором; существуют и зашифрованные JWE, но они требуют отдельного корректного управления ключами. TLS защищает передачу, но не делает содержимое подписанного JWT скрытым от клиента.