O token é validado no servidor e nunca é devolvido ao navegador.