リフレッシュトークンとは？
りふれっしゅとーくん
リフレッシュトークンとは、期限切れのアクセストークンを再取得するために使用される、長期有効な認証用トークンです。
リフレッシュトークンは、OAuth 2.0の仕組みの中でアクセストークンの更新に使われる特殊なトークンです。アクセストークンはセキュリティ上の理由から有効期限が短く設定されることが多い（数分〜1時間程度）ため、期限が切れるたびにユーザーが再ログインするのは不便です。リフレッシュトークンはこの問題を解決します。
仕組みとしては、最初の認証時にアクセストークンとともにリフレッシュトークンが発行されます。アクセストークンが期限切れになったとき、アプリはリフレッシュトークンを認可サーバーに送ることで、ユーザーの操作なしに新しいアクセストークンを取得できます。
リフレッシュトークンの特徴は以下の通りです。
- 有効期限が長い（数日〜数週間、またはそれ以上）
- 一度使うと無効化されるローテーション方式が推奨される
- 漏洩すると長期間悪用されるリスクがあるため厳重な管理が必要
- サーバー側で失効させることができる
モバイルアプリやSPAなど、長期間にわたってバックグラウンドでAPIを利用するアプリケーションで特に重要な役割を果たします。適切に管理されたリフレッシュトークンは、ユーザー体験とセキュリティの両立を可能にします。
使い方・例文
スマートフォンのSNSアプリが起動時に「アクセストークンの期限切れ」を検知した場合、リフレッシュトークンを使って自動的に新しいトークンを取得し、ユーザーに再ログインを求めることなくタイムラインを更新します。
この用語をシェア
最終更新: