Il ciclo di vita del token è il processo completo di gestione di un token di sicurezza, dall'emissione all'uso, alla rotazione, alla scadenza e alla revoca. Si applica agli access token, ai refresh token e alle asserzioni di federazione utilizzati in SSO, servizi cloud e API. Il ciclo di vita definisce quando un token diventa valido, per quanto tempo può essere presentato e quando deve essere sostituito o ritirato.
Questo è importante perché un token spesso funge da prova di identità o autorizzazione. Se un attaccante ruba un token bearer valido, potrebbe essere in grado di riutilizzarlo fino alla sua scadenza o revoca. I difensori riducono questo rischio con durate brevi dei token, rotazione dei refresh token, controlli su audience e client, archiviazione sicura e revoca rapida quando viene rilevata un'attività sospetta. Un ciclo di vita ben gestito limita i danni derivanti da furto, replay e credenziali obsolete.