Como é gerada a assinatura de um JWT?

Resposta

Gerada a partir do header e do payload codificados em Base64URL, concatenados por . e processados com uma chave segundo o algoritmo indicado no campo alg.

Explicação:
\(Signature = Alg(base64UrlEncode(header) + "." + base64UrlEncode(payload), chave)\).
A chave pode ser simétrica ou assimétrica.
A assinatura assegura integridade e autenticidade.