Proč potřebujete jak access token, tak refresh token?

Question

IT Interview Practice · Accepted Answer

Dva tokeny existují, aby vyřešily přímý konflikt: access token musí být **posílán při každém požadavku** (takže je hodně vystavený), zároveň ale chcete relace, které **trvají dlouho** bez nutnosti častého přihlašování. Obojí nelze v jednom tokenu mít bezpečně — proto úlohu rozdělíte.

## Dvě role

- **Access token** — krátce žijící (typicky 5–15 minut), posílaný v hlavičce `Authorization` při každém volání API. Protože se přenáší neustále, únik je pravděpodobný; jeho krátká životnost znamená, že odcizený vyprší téměř okamžitě.
- **Refresh token** — dlouho žijící (dny/týdny), posílaný **pouze** na token endpoint autentizačního serveru za účelem získání nových access tokenů. Cestuje zřídka, lze ho uložit bezpečněji a lze ho odvolat na straně serveru.

```
Login ──▶ access (15m) + refresh (30d)
Every API call ──▶ send access
Access expired ──▶ send refresh ──▶ new access (+ rotated refresh)
```

## Proč ne jen jeden token?

| | Jeden dlouho žijící access token | Access + refresh |
|---|---|---|
| Vystavení | Posílán při každém požadavku, žije dlouho → velké okno pro krádež | Access krátce žijící; refresh posílán zřídka |
| Odvolání | Těžké (bezstavový JWT nelze zrušit) | Odvolejte refresh token; access zemře během minut |
| UX | Časté opětovné přihlašování, pokud je krátký | Zůstává přihlášen bez opětovného zadávání údajů |
| Dosah škod při úniku | Velký | Malý (access rychle vyprší) |

- **Jeden krátký access token, žádný refresh** → bezpečné, ale uživatel je každých pár minut odhlášen. Hrozné UX.
- **Jeden dlouhý access token** → skvělé UX, ale uniklý token je platný dlouho a nelze ho snadno odvolat.
- **Access + refresh** → krátké okno vystavení *a* dlouhé relace. Refresh token je jediné dlouho žijící tajemství a žije na jednom bezpečném místě.

## Co rozdělení umožňuje

- **Odvolání navzdory bezstavovým access tokenům.** JWT access token nelze zneplatnit před vypršením, ale *můžete* smazat/zamítnout refresh token, takže relace skončí při příštím obnovení (během minut).
- **Rotace refresh tokenů** — při každém použití vydejte nový refresh token a detekujte opětovné použití starého (známka krádeže), poté odvolejte celý řetězec.
- **Nejmenší vystavení** — dlouho žijící tajemství (refresh) je posíláno na přesně jeden endpoint, ideálně uloženo v `httpOnly` cookie, mimo dosah XSS.

## Proč je to důležité

Toto je standardní moderní návrh autentizace a tazatelé se na něj ptají, aby zjistili, zda rozumíte tomu *proč*, ne jen *jak*. Klíčovým poznatkem je kompromis: bezstavovost a krátké vystavení (access) versus dlouhé relace a odvolatelnost (refresh). Když to uděláte špatně — dlouho žijící access token, žádná rotace, refresh uložený v `localStorage` — změníte jediný uniklý token v dlouhodobé kompromitování účtu. Pojmenovat toto rozdělení a co vám každý token přináší je to, co se od bezpečnostně uvědomělého inženýra očekává.

	Jeden dlouho žijící access token	Access + refresh
Vystavení	Posílán při každém požadavku, žije dlouho → velké okno pro krádež	Access krátce žijící; refresh posílán zřídka
Odvolání	Těžké (bezstavový JWT nelze zrušit)	Odvolejte refresh token; access zemře během minut
UX	Časté opětovné přihlašování, pokud je krátký	Zůstává přihlášen bez opětovného zadávání údajů
Dosah škod při úniku	Velký	Malý (access rychle vyprší)

Dvě role

Proč ne jen jeden token?

Co rozdělení umožňuje

Proč je to důležité

Související otázky