Tokenförnyelse

Tokenförnyelse är processen att erhålla nya access tokens utan att användaren behöver logga in igen. Den är central i moderna autentiseringsprotokoll som OAuth 2.0 och OpenID Connect. Genom att använda kortlivade access tokens tillsammans med längre livslånga refresh tokens kan applikationer bekräfta användarens identitet utan upprepade autentiseringar, samtidigt som säkerheten stärks genom att minska exponeringen av långlivade credentials.

Så fungerar den typiska processen: klienten får en refresh token när användaren har loggat in. När access tokenet löper ut eller när ett nytt access token krävs, skickar klienten en begäran till auktorisationsservern token-endpoint med grant_type=refresh_token och den tillhörande refresh_token. Om refresh token är giltig kommer servern att utfärda ett nytt access token och ofta också en ny refresh token (tokenrotation).

Säkerhet: Refresh tokens är särskilt känsliga och måste skyddas noggrant. Överföring bör ske över TLS, lagring ska vara säkert, och offentliga klienter bör använda PKCE. Implementeringar bör använda korta livslängder för access tokens, principen om minsta behörighet och mekanismer för återkallelse och registrerad tokenanvändning. Rotation av refresh tokens och övervakning av ovanlig användning minimerar risker vid läckage.

Användningsområden och överväganden: tokenförnyelse gör det möjligt att behålla användarsamtalsflöden utan kontinuerlig inloggning i mobilappar och webbapplikationer. Serverbaserade tjänster kan lagra refresh tokens säkrare än klienter. System bör definiera korrekta livslängder, begränsningar av scopes och mekanismer för att återkalla tokens i händelse av misstänkt aktivitet.

Om tokenförnyelsen misslyckas krävs oftast ny autentisering, eller användaren kan uppmanas att logga in igen.