Jeton de rafraîchissement (Refresh Token)
generalDéfinition
Le jeton de rafraîchissement, ou refresh token, est une information d'identification de longue durée délivrée en complément d'un jeton d'accès dans le cadre du protocole OAuth 2.0. Il permet à un client d'obtenir un nouveau jeton d'accès une fois que le précédent a expiré, sans exiger que l'utilisateur ressaisisse ses identifiants ni se reconnecte auprès du fournisseur d'identité. Contrairement au jeton d'accès, dont la durée de vie est volontairement courte, le jeton de rafraîchissement peut rester valide plusieurs jours, semaines, voire mois, ce qui en fait une cible de choix pour les attaquants souhaitant maintenir un accès persistant à un compte compromis. Sa protection repose sur un stockage sécurisé côté client, idéalement dans un espace non accessible au JavaScript pour limiter les risques de vol par script intersite, ainsi que sur des mécanismes de rotation à chaque utilisation et de détection de réutilisation, qui invalident automatiquement toute la chaîne de jetons en cas d'anomalie. La compromission d'un jeton de rafraîchissement correspond à la technique T1528 de MITRE ATT&CK, vol des jetons d'application. Les architectures d'identité modernes recommandent de lier le jeton de rafraîchissement à un client spécifique, dit confidentiel, et de limiter sa portée fonctionnelle pour réduire l'impact d'une fuite éventuelle sur le système d'information.
Articles liés
Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.
Services
- Audit Infrastructure
- Audit Kubernetes
- Audit Microsoft 365
- Audit Sécurité Réseau
- Analyse de Risques
- Audit Active Directory
- Audit Application Web
- Audit Cloud (AWS/Azure/GCP)
- Audit Messagerie
- Audit API (OWASP Top 10)
- Audit DevSecOps & CI/CD
- Audit Code Source (SAST)
- Audit Postes de Travail
- Audit Sauvegarde & Résilience
- Audit OT/SCADA (IEC 62443)
- Développement IA
- Formations
Ressources
Projets & Outils
© 2026 Ayi NEDJIMI Consultants. Tous droits réservés.
Un projet cybersécurité ?
Expert dispo · Réponse 24h