Refresh token Token de actualización
Token de vida larga (días, semanas o meses) que se intercambia por un nuevo access token cuando el anterior caduca — sin pedir al usuario que vuelva a iniciar sesión.
Se envía al endpoint /token con grant_type=refresh_token. Buena práctica: la rotación — cada uso emite tanto un nuevo access token como un nuevo refresh token, y el refresh anterior queda invalidado. Además, la detección de reutilización: si se usa un refresh antiguo es que lo han robado ⇒ se invalida toda la familia de tokens. Se guarda típicamente en una cookie httponly segura (para web) o en almacenamiento seguro (keychain en móvil). Nunca en localStorage — riesgo de XSS.