Token-Expiry: Access vs Refresh Token Laufzeiten?

Token-Laufzeiten:

Access-Token: 5 Minuten (300 Sekunden)
Refresh-Token: 7 Tage

Refresh-Flow:
1. Access-Token laeuft ab -> 401 von API
2. Client sendet Refresh-Token zu /oauth/token
3. Neuer Access-Token + optional neuer Refresh-Token
4. Nach 7 Tagen: User muss neu authentifizieren

Wichtig: Refresh-Token-Rotation! Jeder Refresh invalidiert den alten Refresh-Token (Replay-Schutz). Wenn du einen revokten Refresh-Token verwendest, wird das als Security-Incident gewertet und alle Tokens dieser Session werden ungültig.

Revocation API:
POST /hhttps/oauth/revoke
{
"token": "<refresh_token>",
"reason": "user_logout|security_incident"
}