tokenlevensduur

Tokenlevensduur is de tijdsduur waarin een authenticatietoken geldig blijft na uitgifte. In moderne identiteits- en autorisatiesystemen wordt doorgaans onderscheid gemaakt tussen access tokens en refresh tokens. Een access token biedt toegang tot resources voor een beperkte periode, vaak in de vorm van een JWT met een vervaldatum (exp). Een refresh token kan gebruikt worden om een nieuw access token aan te vragen zonder opnieuw aan te melden, en heeft doorgaans een langere geldigheidsduur.

De tokenlevensduur is een cruciale beveiligingsparameter. Kortere leeftijden beperken de schade bij compromis omdat gestolen tokens minder lang bruikbaar zijn. Langere lifetimes verbeteren daarentegen gebruiksgemak door minder frequente login-ondersteuning. De optimale balans hangt af van de beveiligingsrisico’s, de gevoeligheid van de resources en het gebruiksscenario (bijv. mobiele apps, webbrowsers, apparaten met beperkte opslag).

Configuratie en beheer gebeuren meestal op de identiteitsprovider of API-gateway. Levensduur wordt uitgedrukt in tijdseenheden (seconden, minuten, uren). Best practices omvatten korte lifetimes voor access tokens (bijv. 5–15 minuten) en langere lifetimes voor refresh tokens (dagen tot weken), vaak met tokenrotatie en georganiseerde intrekking bij misbruik. Sliding versus fixed lifetimes, en aanvullende beveiligingsmaatregelen zoals audience-restrictie, binding aan apparaat en multi-factor-authenticatie, spelen een rol.

In de praktijk moeten organisaties een beveiligingsbeleid bepalen dat rekening houdt met risico’s, gebruikerservaring en operationele vereisten. Regelmatige evaluatie van tokenlevensduur en bijbehorende mechanismen blijft essentieel voor een veilige en gebruiksvriendelijke authenticatie-infrastructuur.