Guia

Tokens de acesso e tokens de atualização

O papel do token de acesso de vida curta e do token de atualização que o renova.

Token de acesso: um JWT de vida curta (minutos) para chamar APIs; se roubado, expira logo, limitando o dano.
Token de atualização: um token de vida mais longa para obter um novo token de acesso ao expirar, guardado e enviado com mais cuidado.
Um exp curto mais a atualização dão o equilíbrio de 'expira com frequência, mas o usuário não faz login de novo'.
Tokens de atualização devem ser revogáveis e rotacionáveis no servidor, e mantidos fora do JavaScript (ex.: em um cookie HttpOnly).

Experimente decodificar um token você mesmoBasta colar e o cabeçalho, o payload e as claims se abrem na hora.

Relacionados