# 006. Политика access и refresh сессий

**Status:** Accepted, baseline decision

## Context

Клиенту нужна короткая авторизация без передачи долгоживущего секрета JavaScript-коду.

## Decision

Access token живёт 15 минут только в памяти frontend. Rotating refresh token живёт 7 дней и передаётся в cookie `httpOnly`, `SameSite=Lax`; сервер заменяет refresh token при обновлении сессии.

## Consequences

Перезагрузка страницы требует обновления access token через cookie-сессию. Полная реализация сессий, хранилища и отзыва будет добавлена change авторизации.