Décodez l'en-tête et le payload JWT, inspectez les claims et l'expiration ; les jetons ne sont jamais envoyés.