16 lines
1.0 KiB
Markdown
16 lines
1.0 KiB
Markdown
# 006. Политика access и refresh сессий
|
|
|
|
**Status:** Accepted, baseline decision
|
|
|
|
## Context
|
|
|
|
Клиенту нужна короткая авторизация без передачи долгоживущего секрета JavaScript-коду.
|
|
|
|
## Decision
|
|
|
|
Access token живёт 15 минут только в памяти frontend. Rotating refresh token живёт 7 дней и передаётся в cookie `httpOnly`, `SameSite=Lax`; сервер заменяет refresh token при обновлении сессии.
|
|
|
|
## Consequences
|
|
|
|
Перезагрузка страницы восстанавливает access token через cookie-сессию. Rotating sessions, logout и bounded revocation model реализованы; access token остаётся действительным не более 15 минут без database lookup на каждый запрос. Текущее поведение описано в [Аутентификации](../domains/authentication/overview.md).
|