O token NÃO aparece aqui no JS — ele viaja no header HTTP Authorization e é capturado no log do nginx (server-side). Abaixo, o que o JS de terceiro consegue ver:
Authorization
coletando...