リフレッシュトークン

リフレッシュトークンとは

リフレッシュトークンは、アクセストークンの有効期限が切れた後に、ユーザーの再ログインなしで新しいアクセストークンを取得するためのトークンである。OAuth 2.0 の仕様 (RFC 6749) では、認可サーバーが必要に応じて発行するものと位置づけられており、クライアントはトークンエンドポイントへ grant_type=refresh_token として提示し、新しいアクセストークンと交換する。

有効期限そのものは仕様が定めておらず、認可サーバーの設定で決まる。実装ではアクセストークンを分単位から 1 時間程度、リフレッシュトークンを日単位から数週間に置く形が多い。この非対称が設計の要点である。アクセストークンは API サーバーへ毎回送るため漏洩の機会が多く、寿命の短さで被害を打ち切る。リフレッシュトークンは認可サーバーにしか送らないため漏洩の機会を絞れる代わりに、盗まれたときの影響が長く続く。

アクセストークン vs リフレッシュトークン

2 つの違いは寿命だけではなく、どこへ送るかが本質的に違う。送信先を認可サーバーだけに限れるからこそ、長命にする余地が生まれる。

観点	アクセストークン	リフレッシュトークン
有効期限	短い (15 分〜1 時間が典型)	長い (7〜30 日が典型)
用途	API へのアクセス	新しいアクセストークンの取得
送信先	API サーバー	認証サーバーのみ
漏洩リスク	短命なので影響が限定的	長命なので影響が大きい

フロー

更新は次の順序で進む。リフレッシュトークンを使うのはアクセストークンの失効をクライアントが検知した後だけであり、毎回の API 呼び出しに混ぜてはならない。送る相手を増やすほど、長命なトークンが漏れる経路が増える。

1. ログイン → アクセストークン + リフレッシュトークンを取得
2. API 呼び出し → アクセストークンを使用
3. アクセストークンが期限切れ → 401 Unauthorized
4. リフレッシュトークンで新しいアクセストークンを取得
5. 新しいアクセストークンで API を再呼び出し

Cognito でのリフレッシュトークン

Amazon Cognito ユーザープールでは、REFRESH_TOKEN_AUTH フローでリフレッシュトークンを新しい ID トークンとアクセストークンに交換する。リフレッシュトークンの有効期限はサインインから既定で 30 日で、アプリクライアントの設定で 60 分から 10 年の範囲に変更できる (2026 年 8 月時点)。延ばすほど再ログインの手間は減るが、盗まれたトークンが使える期間も同じだけ伸びる。

const result = await cognito.initiateAuth({
  AuthFlow: 'REFRESH_TOKEN_AUTH',
  ClientId: 'my-client-id',
  AuthParameters: {
    REFRESH_TOKEN: refreshToken,
  },
});
const newAccessToken = result.AuthenticationResult!.AccessToken;