// SÖZLÜK

Refresh Token (Yenileme Jetonu)

Erişim jetonunun (access token) süresi dolduğunda, kullanıcıyı yeniden kimlik doğrulamaya zorlamadan yenisini almaya yarayan, ömrü uzun kimlik bilgisidir. Modern kimlik mimarisinde bir denge kurar: erişim jetonları kasıtlı olarak kısa ömürlüdür, böylece çalınsalar bile kısa sürede geçersizleşir; yenileme jetonu ise bu kısa ömrün yarattığı sürekli yeniden giriş zahmetini ortadan kaldırır. Ancak bu kolaylık bir risk taşır ve risk tam da uzun ömründedir. Bir yenileme jetonu ele geçirildiğinde, saldırgan onu kullanarak sürekli yeni erişim jetonu üretebilir; yani tek bir hırsızlık kalıcı erişime dönüşür. Dahası, kullanıcının parolasını değiştirmesi çoğu zaman mevcut yenileme jetonlarını tek başına geçersiz kılmaz, bu da en yaygın savunma refleksini etkisiz bırakabilir. Bu özellikler yenileme jetonunu saldırgan için erişim jetonundan çok daha değerli bir hedef yapar. Oturum ve kimlik güvenliği değerlendirmelerinde kritik soru, iptal (revocation) mekanizmasının gerçekten çalışıp çalışmadığı, dönüşüm (rotation) uygulanıp uygulanmadığı ve bir sızıntının tespit edilip edilemediğidir.