リフレッシュトークン
有効期間の長い（数日〜数か月）トークン。期限切れのアクセストークンと交換して新しいものを得られ、ユーザーに再ログインを求めずに済む。
grant_type=refresh_token を付けて /token エンドポイントに送る。ベストプラクティスはローテーションで、使うたびに新しいアクセストークンと新しいリフレッシュトークンの両方を発行し、古いほうを無効化する。さらに再利用検知を組み合わせる。無効化済みのトークンが使われたなら盗まれたということなので、そのトークンファミリー全体を失効させる。保管先は Web なら httponly・secure のクッキー、モバイルならキーチェーンなどの安全なストレージで、XSS のリスクがあるため localStorage は避ける。