Refresh token
Lång-livad token (dagar/veckor/månader) som byts mot ny access token när den gamla går ut — utan att be användaren logga in på nytt.
Skickas till /token-endpoint med grant_type=refresh_token. Best practice: rotering — varje användning utfärdar både ny access token OCH ny refresh token, gamla refresh blir invalidated. Plus reuse detection: om en gammal refresh används har den blivit stulen ⇒ invalidate hela token-familj. Lagras typiskt i httponly secure cookie (för web) eller secure storage (mobil keychain). Inte i localStorage — XSS-risk.