Sécurité des jetons d’accès et d’actualisation
Approfondissez les bonnes pratiques pour stocker, transmettre et faire expirer de manière sécurisée les jetons d’accès et d’actualisation.
Sécurité des jetons d’accès et d’actualisation est une leçon OAuth2 & OpenID Connect Deep Dive gratuite sur CoddyKit. Ceci est la leçon 1 sur 4. Tu peux lire la leçon complète ci-dessous gratuitement — puis la pratiquer en direct dans le navigateur avec un éditeur de code intégré et un tuteur IA 24/7. Elle fait partie du parcours d'apprentissage OAuth2 & OpenID Connect Deep Dive, et ta progression se synchronise sur le web et l'application CoddyKit. Le cours OAuth2 & OpenID Connect Deep Dive comprend 4 leçons au total.
Certaines parties de cette leçon n'ont pas encore été traduites et s'affichent en anglais.
Why Token Security Matters
Welcome to Token Security! In this lesson, we'll dive into protecting the vital components of OAuth2 and OpenID Connect: access tokens and refresh tokens.
These tokens are like digital keys. If they fall into the wrong hands, unauthorized access to your users' data or your application's resources can occur. Securing them is paramount.
Understanding Access Tokens
Access tokens are credentials that grant a client application permission to access specific resources on behalf of the user. Think of them as a temporary pass.
- They have a short lifespan (minutes to hours).
- They are used directly to authorize API requests.
- If compromised, the damage is limited due to their short expiry.
Understanding Refresh Tokens
Refresh tokens are used to obtain new access tokens after the current one expires, without requiring the user to re-authenticate. They are like a master key.
- They have a much longer lifespan (days, weeks, or even months).
- They are highly sensitive because their compromise can grant continuous access.
- They should be stored with the highest level of security.
Secure Transmission: HTTPS/TLS
The most fundamental rule for token security is to always transmit tokens over HTTPS (TLS). This encrypts the communication channel between the client and the server.
Without HTTPS, tokens sent over an unsecured network (like public Wi-Fi) could be easily intercepted by attackers, leading to immediate compromise.
Storing Access Tokens Safely
Access tokens, due to their short lifespan, require careful client-side storage:
- Web Applications: Store in memory (JavaScript variables) or secure, httpOnly cookies. Avoid
localStorageorsessionStoragedue to XSS vulnerability. - Mobile Applications: Use platform-specific secure storage like iOS Keychain or Android Keystore.
Simulating Token Expiry
Access tokens are designed to expire. This code snippet shows a conceptual way to check if a token, represented by its issue and expiry times, is still valid.
public class Main {
public static void main(String[] args) {
long issuedAtMillis = System.currentTimeMillis() - (5 * 60 * 1000); // Token issued 5 minutes ago
long expiresInMillis = 10 * 60 * 1000; // Token expires in 10 minutes from issue
long expiresAtMillis = issuedAtMillis + expiresInMillis;
System.out.println("Token issued 5 minutes ago.");
System.out.println("Expires 10 minutes from issue.");
if (System.currentTimeMillis() > expiresAtMillis) {
System.out.println("Status: Token EXPIRED.");
} else {
System.out.println("Status: Token ACTIVE.");
}
}
}Securing Refresh Tokens
Refresh tokens are the most critical to protect due to their long lifespan. Their storage must be even more stringent:
- Web Applications: Exclusively use httpOnly, secure cookies. Never store in JavaScript-accessible storage.
- Mobile Applications: Utilize hardware-backed secure storage (e.g., Secure Enclave on iOS, TEE on Android) if available.
Refresh Token Rotation (RTR)
Refresh Token Rotation (RTR) is a crucial security enhancement. Each time a client uses a refresh token to get a new access token, the authorization server should issue a new refresh token and invalidate the old one.
If an old refresh token is stolen and used, the legitimate client will detect it because its current refresh token will no longer work, signaling a potential breach.
Token Revocation Strategies
Tokens should not just expire; they should also be revocable. The authorization server must provide mechanisms to invalidate tokens prematurely.
- User Logout: All associated access and refresh tokens should be revoked.
- Password Change: Revoke all active tokens to force re-authentication.
- Suspicious Activity: If a token is suspected of being compromised, it should be immediately revoked.
Managing Token Lifespans
Balancing security and user experience is key:
- Access Tokens: Keep their lifespan short (e.g., 5-15 minutes). This limits the window of opportunity for attackers if a token is compromised.
- Refresh Tokens: Can have longer lifespans (e.g., 7-30 days), but must be revocable and ideally protected with RTR.
Token Security Check
Which of the following are recommended best practices for securing OAuth2/OIDC tokens?
Recap: Secure Tokens
You've learned the critical practices for securing access and refresh tokens!
- HTTPS/TLS is non-negotiable for transmission.
- Access tokens need secure, short-lived storage (memory, httpOnly cookies).
- Refresh tokens demand the highest security (httpOnly, secure cookies, hardware-backed storage) and should use Refresh Token Rotation.
- Implement effective revocation strategies and manage token lifespans wisely.
Questions Fréquemment Posées
La leçon « Sécurité des jetons d’accès et d’actualisation » est-elle gratuite ?
Oui — le texte complet de « Sécurité des jetons d’accès et d’actualisation » est gratuit à lire ici sur le web. Pour la pratiquer de manière interactive (un éditeur de code intégré et un tuteur IA 24/7) et déverrouiller le reste du cours OAuth2 & OpenID Connect Deep Dive, passe à CoddyKit PRO. Le cours OAuth2 & OpenID Connect Deep Dive comprend 4 leçons au total.
Qu'est-ce que j'apprendrai dans « Sécurité des jetons d’accès et d’actualisation » ?
Approfondissez les bonnes pratiques pour stocker, transmettre et faire expirer de manière sécurisée les jetons d’accès et d’actualisation. Tu pratiques OAuth2 & OpenID Connect Deep Dive avec du code pratique que tu exécutes directement dans le navigateur, et un tuteur IA 24/7 répond à tes questions au fur et à mesure que tu avances dans la leçon.
Dois-je avoir de l'expérience pour commencer OAuth2 & OpenID Connect Deep Dive ?
Aucune expérience préalable n'est requise. OAuth2 & OpenID Connect Deep Dive sur CoddyKit est structuré pour les débutants jusqu'aux apprenants avancés, donc tu peux commencer ici ou depuis le début et avancer à ton rythme. Ceci est la leçon 1 sur 4.
Combien de temps prend la leçon « Sécurité des jetons d’accès et d’actualisation » ?
La plupart des leçons CoddyKit prennent environ 5–10 minutes. Chacune est courte et interactive, tu progresses régulièrement et tu repiques exactement où tu t'es arrêté sur le web et l'app.
Peux-tu écrire et exécuter du code dans cette leçon OAuth2 & OpenID Connect Deep Dive ?
Oui. Chaque leçon OAuth2 & OpenID Connect Deep Dive inclut un éditeur de code intégré, tu écris et exécutes du vrai code directement dans ton navigateur et tu reçois des retours IA instantanés — aucune configuration locale requise.
Toutes les leçons de ce cours
- Sécurité des jetons d’accès et d’actualisation
- Paramètre d’état et CSRF
- Bonnes pratiques relatives aux types d’octroi
- Sécuriser les URI de redirection