アクセストークン
クライアントがAPI呼び出しのたびに送る、有効期間の短い「鍵」。操作を許可されていることの証明になる。多くはJWTか、中身のない不透明な文字列である。
HTTPヘッダーに Authorization: Bearer eyJ0eXAi... の形で載せる。有効期間は5〜60分と短く設定し、盗まれても被害が限られるようにする。パスワードを再入力させずにセッションを延ばすにはリフレッシュトークンを使う。種類はJWT（自己検証型でDB参照が不要）と不透明トークン（サーバーがDBやRedisで照合する）の二つ。不透明トークンは失効が速く、JWTは検証が速い。