В чём разница между Access и Refresh токенами?

Access Token — короткоживущий токен (например, 15 минут). Отправляется с каждым запросом к API для доступа к ресурсам. Если его украдут, хакер будет иметь доступ недолго.

Refresh Token — долгоживущий токен (например, 30 дней). Хранится безопасно (например, в HttpOnly cookie). Используется только для получения новой пары Access/Refresh токенов, когда старый Access протух.

💡 Суть: Баланс между безопасностью (частая смена Access) и удобством (юзеру не нужно вводить пароль каждые 15 минут).