Värskendustokenid

Värskendustokenid, ofta kallade refresh tokens, är en typ av långlivad credential som används i moderna autentiseringsprotokoll som OAuth 2.0 och OpenID Connect. De utfärdas av auktorisationsservern tillsammans med ett access token och används för att få nya access tokens utan att användaren behöver logga in igen. Värskendustokenid har vanligtvis längre giltighet än access tokens och kan återutfärdas flera gånger tills de upphör att gälla eller blir återkallade.

Vid behov av förnyelse skickar klienten ett refresh token grant till token-endpunkten för att erhålla ett nytt access token. Många implementationer roterar värskendustokenid vid varje användning, så att den gamla blir ogiltig när den används för att få en ny token och därmed minskar risken vid stöld.

Säkerhet: värskendustokenid bör lagras och överföras säkert. I webbläsarbaserade klienter används ofta säkra cookies eller säker lagring i klienten, tillsammans med PKCE i offentliga klienter. Eftersom de ger långvarig tillgång bör de skyddas mot stöld, användning på flera enheter utan kontroll och återkallas vid misstanke om kompromiss eller utloggning. Revisionsloggar, sessionövervakning och möjligheten att återkalla tokens är viktiga.

Livscykel och rotation: många system implementerar rotation av värskendustokenid, så att varje användning av ett refresh token ger ett nytt token och det gamla ogiltigförklaras. Detta minskar skadeeffekten av stulen token. Livslängd och antalet aktiva tokens regleras av servern.

Relationer och standarder: refresh tokens skiljer sig från access tokens som har kortare giltighet och används för att få tillgång till skyddade resurser. De är en del av OAuth 2.0 och OpenID Connect-flöden; vissa uppdaterade versioner betonar säkrare användning och minimering av risker.