Decodifique o cabeçalho e o payload de um JWT, inspecione claims e expiração — os tokens nunca são enviados.