Come vengono gestiti e protetti i token di accesso?
amaise utilizza token senza stato con durate di validità differenziate:
Categoria | Validità | Utilizzo |
A breve termine | Minuti | Token di accesso utente, token di database |
A medio termine | Ore – Giorni | Token di refresh, sessioni di autenticazione |
A lungo termine | Configurabile | Integrazioni machine-to-machine (API) |
Tutti i token sono firmati RS256 (JWT) con whitelist degli issuer e validazione dell’audience. I token di refresh ruotano ad ogni rinnovo — il token precedente diventa immediatamente invalido.
Importante: i token sono conservati nel frontend esclusivamente nella memoria di lavoro — mai in localStorage o sessionStorage. In questo modo sono protetti da attacchi XSS che mirano a memorie persistenti.
Non esistono sessioni lato server (stateless). Questo esclude attacchi di session hijacking e session fixation.