Yenileme belirteci
Süresi dolan erişim belirteci yerine, kullanıcıdan yeniden giriş istemeden yenisini almak için kullanılan uzun ömürlü (gün/hafta/ay) belirteç.
grant_type=refresh_token ile /token uç noktasına gönderilir. İyi uygulama rotasyondur: her kullanımda hem yeni bir erişim hem yeni bir yenileme belirteci verilir, eskisi geçersiz olur. Buna yeniden kullanım tespiti eklenir: eski bir yenileme belirteci kullanılırsa çalınmıştır ⇒ tüm belirteç ailesi geçersiz kılınır. Genellikle web’de httponly secure çerezde, mobilde güvenli depolamada (keychain) saklanır; XSS riski yüzünden localStorage’da değil.