tokenlivscykel

Tokenlivscykel är de faser ett digitalt token genomgår från skapande till utgång. Tokens används för autentisering och auktorisation i moderna system, exempelvis när användare loggar in, när programappar får API-åtkomst eller när tjänster kommunicerar med varandra. En token kan vara ett JWT eller ett opaque token som åtskilt verifieras av auktorisationsservern.

Generering och utfärdande innebär att en identitetsleverantör eller auktorisationsserver utfärdar token efter en lyckad autentisering eller efter en godkänd begäran om åtkomst. Tokens lagras och hanteras av klienten eller tjänsten som använder dem. Hantering inkluderar säkert förvaring och skydd mot missbruk samt att tokenets avsändare och avgränsningar (audience och scopes) tydligt definieras.

Användning och rotation innebär att tokens används för att få tillgång till skyddade resurser under sin giltighet. Många system separerar kortlivade access tokens från längre livslängd refresh tokens. Access tokens är oftast kortlivade och kan förnyas med en refresh token utan att användaren måste logga in igen. Refresh tokens bör hanteras noggrant och roteras regelbundet för att minska risk vid kompromettering.

Expiration och ogiltigförklaring innebär att token når sin utgångstid eller blir ogiltigförklarad vid behov. Avsätts och granskningar används för att upptäcka missbruk och stoppa obehörig användning, ofta genom revocation endpoints eller token introspection.

Säkerhet och governance omfattar livstids- och rotationspolicyer, säkra lagrings- och överföringsrutiner, klient- och tjänstens begränsningar samt övervakning och loggning. Exempel på tokenstandarder inkluderar OAuth 2.0, OpenID Connect och JWT.