Oppfriskningstoken

Oppfriskningstoken, også kjent som refresh token, er et sikkerhetstoken som brukes i moderne autentisering for å hente nye tilgangstokener uten at brukeren trenger å logge inn på nytt. Det utstedes vanligvis sammen med en tilgangstoken i en godkjenningsflyt som open authentication. Mens tilgangstokener har kort levetid, har oppfriskningstoken ofte lengre levetid og kan brukes til å få nye tilgangstokener når den nåværende utløper. I noen systemer kan det også gis et nytt oppfriskningstoken ved hver forespørsel (rotasjon).

Teknisk sett sendes oppfriskningstokenet til token-endepunktet med grant_type=refresh_token, sammen med klientens legitimasjon. Svaret inneholder vanligvis en ny tilgangstoken og, hvis konfigurert, også en ny oppfriskningstoken. Tilgangstokenet har kort levetid, mens oppfriskningstokenet kan være gyldig i lengre perioder. Av og til kan oppfriskningstokenet utløpe, tilbakekalles eller bli vraket i forbindelse med rotasjon eller spesifikke selskapspolicyer.

Bruksområder og begrensninger: Oppfriskningstoken brukes primært av serverbaserte, mobil- og desktop-klienter hvor brukeren ikke trenger å logge inn ved hver forespørsel. I OpenID Connect og OAuth 2.0-konfigurasjoner kan visse flyter tillate oppfriskningstokens ved hjelp av offline_access-scope. Noen leverandører roter oppfriskningstokens for å styrke sikkerheten og redusere risiko ved lekkasje.

Sikkerhet: Oppfriskningstokens er svært sensitive og må beskyttes nøye. De bør lagres sikkert på klienten, bare overføres over HTTPS, og ikke eksponeres i brukerkommunikasjonslag som nettlesere for sensitive applikasjoner. Anbefalte praksiser inkluderer PKCE for offentlige klienter, regelmessig overvåkning og mulighet for tilbakekalling av tokens ved mistanke om kompromittasjon, samt bruk av kortvarige tilgangstokener med rotasjon av oppfriskningstokens.