Access-Token und Refresh-Token

• Access-Token: ein kurzlebiges JWT (Minuten) für API-Aufrufe; gestohlen läuft es bald ab und begrenzt den Schaden.
• Refresh-Token: ein länger lebendes Token, um bei Ablauf ein neues Access-Token zu erhalten, sorgfältiger gespeichert und übertragen.
• Ein kurzes exp plus Refresh ergibt die Balance „läuft oft ab, aber der Nutzer meldet sich nicht neu an“.
• Refresh-Token sollten serverseitig widerrufbar und rotierbar sein und aus JavaScript herausgehalten werden (z. B. in einem HttpOnly-Cookie).

Verwandt