Jeton d'accès
La « clé » de courte durée que le client envoie à chaque appel API pour prouver qu'il a le droit d'agir. Généralement un JWT ou une chaîne opaque.
Transmis dans un en-tête HTTP : Authorization: Bearer eyJ0eXAi.... Son TTL est court (5 à 60 min) pour limiter les dégâts en cas de vol. Pour prolonger la session sans redemander le mot de passe : le refresh token. Deux variantes : le JWT (auto-vérifiable, sans requête en base) et le jeton opaque (le serveur doit le rechercher en base ou dans Redis). L'opaque permet une révocation plus rapide, le JWT une validation plus rapide.