js_client: token header