Как refresh токен обеспечивает безопасность? Что делать, если refresh токен украден?

Refresh token позволяет держать access token короткоживущим, но сам требует особенно надёжной защиты. При краже его нужно отозвать, завершить затронутые сессии и заново аутентифицировать пользователя.

Rotation меняет refresh token при использовании, а обнаружение повторного предъявления старого помогает выявить replay и отозвать семейство. Возможна привязка к клиенту; точная схема зависит от платформы. Нужны срок действия, безопасное хранение и аудит без записи самого токена. Один refresh token не делает украденный access token недействительным автоматически.

Источник: www.rfc-editor.org.