Refreshtokenrotasjon

Refreshtokenrotasjon er en sikkerhetsmekanisme i autentiseringssystemer der hvert påfølgende fornyelsestoken som brukes til å hente nye tilgangstokens også utstedes i en ny versjon, mens det gamle fornyelsestokenet blir ugyldiggjort. Denne rotasjonen gjør det mulig å oppdage og begrense misbruk ved stjålne eller lekkede tokens, og gir bedre kontroll med token-livssyklusen.

Slik fungerer det vanligvis: Klienten sender et fornyelsestoken til token-endepunktet for å få et nytt tilgangstoken, ofte sammen med et nytt fornyelsestoken. Serveren validerer det innsendte tokenet, og hvis det er gyldig, utsteder den et nytt tilgangstoken og et nytt fornyelsestoken, samtidig som det gamle fornyelsestokenet blir erklært ugyldig. Hvis noen prøver å bruke et gammelt fornyelsestoken, avvises forespørselen. Noen implementasjoner bruker en streng én gangs bruk (one-time use) av fornyelsestokens for å sikre rask oppdagelse av misbruk.

Sikkerhet og implementeringstips: Oppbevar fornyelsestokens sikkert i klienten (for eksempel HTTP-only cookies eller kryptert lokal lagring) og bruk alltid HTTPS. På serversiden bør rotasjonslogikk lagre tilstand om hvert tokens utløp, utsteder nye tokens og har en måte å reversere eller svarteliste stjålne eller utløpte tokens. Rotasjon fordrer ofte en viss database- eller lagringskapasitet for å spore token-tilstander.

Fordeler og hensyn: Refreshtokenrotasjon reduserer risikoen for misbruk av stjålne tokens og muliggjør rask oppdagelse av uautoristert bruk, men den øker kompleksiteten og administrative krav knyttet til lagring og samsvar. Det er vanlig i OAuth 2.0 og OpenID Connect-implementasjoner.