Token di accesso
La «chiave» di breve durata che il client invia a ogni chiamata API per dimostrare di essere autorizzato. Di solito un JWT o una stringa opaca.
Viene inviato in un header HTTP: Authorization: Bearer eyJ0eXAi.... La durata è breve (5–60 minuti), così un token rubato ha un impatto limitato. Per prolungare la sessione senza richiedere di nuovo la password si usa un refresh token. Due varianti: JWT (si valida da sé, senza consultare il database) oppure opaco (il server deve cercarlo nel DB o in Redis). L'opaco permette una revoca più rapida; il JWT una validazione più rapida.