Ходили в апи процессинга платежей, на этом пути нашел интерсептор, который не чекал jwt, а всегда авторизировал пользователя. Добавил логику с проверкой на свежий jwt (если протухший, все равно надо регать:((