Lê o token e mostra header e payload como JSON. Não valida assinatura — só decodifica o que está no token.