JWT decode

Decode header & payload (Base64URL). Không verify chữ ký — offline.