Где сохранять токены, в куках или localStorage?

Question

[heducose]

Где правильно сохранять JWT?
И что лучше всего загружать в payload после авторизации? В контексте идентификации пользователя. Безопасно ли указывать там логин, имейл? Как лучшие практики говорят?