Osassa 4 sanotaan:

Jos salasana on oikein, luodaan metodin jwt.sign avulla token, joka sisältää kryptatussa muodossa käyttäjätunnuksen ja käyttäjän id:

Tämä on hieman harhaanjohtavaa, koska todellisuudessa JWT:n tokenissa header ja payload ovat täysin selväkielisessä muodossa (joskin base64-koodattuina). Sivulla https://jwt.io/ oleva "Debugger" kuvaa hyvin tilannetta.