Что такое Refresh Token
Refresh token — долгоживущий токен (недели/месяцы), который client использует для получения новых коротких access_token без повторной аутентификации. Типичный flow: access_token живёт 15 мин, refresh_token 30 дней. Когда access истёк, клиент шлёт refresh к token endpoint → получает новый access. Критично: refresh хранить в secure storage (httpOnly cookie, не localStorage).
Ниже: подробности, пример, смежные термины, FAQ.
Подробности
- Access token: short-lived (5-15 min), передаётся в каждом запросе
- Refresh token: long-lived (30+ days), только на token endpoint
- Rotation: при use refresh выдаётся новый refresh, старый revoked
- Revocation list: Redis/DB со списком invalidated tokens
- Грэйсовых период: 30 сек на race conditions при concurrent refreshes
Пример
POST /oauth/token
grant_type=refresh_token
refresh_token=XXX
client_id=Y
→ { access_token: "...", refresh_token: "NEW", expires_in: 900 }Смежные термины
Почему нам доверяют
Как это работает
Введите URL сайта
Анализ заголовков безопасности
Получите оценку A–F
Что проверяет анализ безопасности?
Инструмент проверяет HTTP-заголовки безопасности, конфигурацию SSL/TLS, утечки серверной информации и защиту от распространённых атак (XSS, clickjacking, MIMEsniffing). Оценка от A до F показывает общий уровень защиты.
Анализ заголовков
Проверка Content-Security-Policy, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy и других.
Проверка SSL
Версия TLS, срок сертификата, цепочка доверия, поддержка HSTS.
Обнаружение утечек
Поиск раскрытых серверных версий, debug-режимов, открытых конфигов и директорий.
Отчёт с рекомендациями
Детальный отчёт с объяснением каждой проблемы и конкретными шагами для исправления.
Кому это нужно
Специалисты по безопасности
аудит HTTP-заголовков
DevOps
проверка конфигурации
Разработчики
CSP и HSTS настройка
Аудиторы
соответствие стандартам
Частые ошибки
Strict-Transport-Security.Server: Apache/2.4.52 помогает атакующим подобрать эксплойт. Скройте версию.DENY или SAMEORIGIN.nosniff браузер может интерпретировать файлы неправильно (MIME sniffing).Лучшие практики
Content-Security-Policy-Report-Only, мониторьте нарушения, затем включите.Server, X-Powered-By, X-AspNet-Version из ответов.Получите больше с бесплатным аккаунтом
История security-проверок и мониторинг HTTP-заголовков безопасности.
Зарегистрироваться (FREE)Больше по теме
Гайды
Часто задаваемые вопросы
Где хранить refresh token?
Server-side: session/database. Client-side: httpOnly + Secure + SameSite=Strict cookie. Никогда localStorage — XSS vulnerability.
Что делать при подозрении utечки?
Revoke all refresh tokens user через <code>DELETE /tokens WHERE user_id=X</code>. User должен relogin.
Refresh rotation — обязательно?
Best practice. Особенно для SPA. OAuth 2.1 draft требует rotation.