oppfriskingstoken

Oppfriskingstoken, i kontekst av OAuth 2.0 og OpenID Connect, er en token som brukes for å skaffe nye tilgangstokener når den nåværende tilgangstokenen utløper. Den utstedes til klienten av autorisasjonsserveren etter at brukeren har autentisert seg. Hensikten er å la apper opprettholde tilgang til beskyttede ressurser uten at brukeren må logge inn på nytt.

Når en bruker autentiseres, mottar klienten vanligvis både en tilgangstoken og en oppfriskingstoken. Tilgangstokenen har ofte kort levetid, mens oppfriskingstokenen brukes til å hente nye tilgangstokener uten brukerinteraksjon. Av og til implementeres rotering av oppfriskingstokener, slik at et brukt token blir erstattet med et nytt og gamle token blir ugyldige.

Oppfriskingstokener er svært sensitive og må lagres sikkert. Overføring bør alltid skje over TLS, og refresh-tokens bør kun brukes i autentiserte scenarier. Mange leverandører støtter rotasjon av oppfriskingstokener, revokasjon ved mistanke om misbruk, og streng begrensing av omfang og levetid for å begrense skade ved lekkasje og misbruk.

I praksis følger oppfriskingstokener OAuth 2.0- og OpenID Connect-standardene. Tokenene kan være JWT eller opaque, avhengig av implementasjonen, og noen løsninger gir mekanismer for revokasjon og rotasjon. Offline_access-scope brukes ofte for å indikere tillatelse til å bruke refresh tokens i apper som kjører utenfor aktiv brukerpålogging.

Bruksområder inkluderer langvarige økter i nett- eller mobilapper og mellomliggende tjenesteinteraksjoner. Ved å bruke oppfriskingstokener kan apper opprettholde brukerøkter uten gjentatte pålogginger, samtidig som sikkerheten opprettholdes gjennom kort levetid for tilgangstokener og kontrollerte regler for refresh-tokenet.