29/03/2026
La gestion des refresh tokens est un point critique pour la sécurité et la scalabilité d’un SaaS. Cet article explique comment implémenter une stratégie de rotation des refresh tokens dans un backend Node.js, avec des exemples concrets (schéma SQL, snippets Express, commandes CLI), les erreurs courantes et les bonnes pratiques pour détecter le vol de token.
Les refresh tokens permettent de renouveler des access tokens courts sans forcer l'utilisateur à se reconnecter. Sans rotation, un refresh token volé peut être utilisé indéfiniment jusqu’à expiration. La rotation (émettre un nouveau refresh token à chaque usage et révoquer l’ancien) réduit fortement la fenêtre d’exploitation d’un token compromis et permet de détecter les réutilisations frauduleuses.
Exemple d'installation (CLI) :
npm init -y
npm install express jsonwebtoken bcryptjs pg dotenv
Vous pouvez aussi utiliser des librairies de hachage plus modernes (argon2) selon vos contraintes.
-- table pour stocker les refresh tokens (hachés)
CREATE TABLE refresh_tokens (
id BIGSERIAL PRIMARY KEY,
user_id UUID NOT NULL,
token_hash TEXT NOT NULL,
device_info TEXT,
created_at TIMESTAMP WITH TIME ZONE DEFAULT now(),
expires_at TIMESTAMP WITH TIME ZONE NOT NULL,
replaced_by BIGINT, -- id du token qui a remplacé celui-ci
revoked BOOLEAN DEFAULT false,
CONSTRAINT idx_token_hash UNIQUE (token_hash)
);
-- index pour rechercher par user rapidement
CREATE INDEX ON refresh_tokens (user_id);
// routes/auth.js (extraits)
const express = require('express');
const jwt = require('jsonwebtoken');
const bcrypt = require('bcryptjs');
const { pool } = require('./db'); // client pg
const router = express.Router();
const ACCESS_SECRET = process.env.ACCESS_SECRET;
const REFRESH_SECRET = process.env.REFRESH_SECRET;
const REFRESH_TTL_DAYS = 30;
function signAccessToken(user) {
return jwt.sign({ sub: user.id, role: user.role }, ACCESS_SECRET, { expiresIn: '10m' });
}
function signRefreshToken() {
// token long, aléatoire ; ici on utilise JWT pour simplicité mais peut être une random string
return jwt.sign({ rnd: Math.random().toString(36).slice(2) }, REFRESH_SECRET, { expiresIn: `${REFRESH_TTL_DAYS}d` });
}
router.post('/refresh', async (req, res) => {
const incoming = req.body.refreshToken;
if (!incoming) return res.status(400).send('missing token');
try {
// 1) verify format (optional)
jwt.verify(incoming, REFRESH_SECRET); // permet d'éliminer tokens blatants modifiés
// 2) hash and search in DB
const tokenHash = await bcrypt.hash(incoming, 10); // attention: voir remarque sur bcrypt costs
const find = await pool.query('SELECT * FROM refresh_tokens WHERE token_hash = $1', [tokenHash]);
if (find.rowCount === 0) {
// token inconnu => possible réutilisation ou vol
// action recommandée : révoquer tous les tokens de l'utilisateur si vous pouvez l'identifier, sinon alerter.
return res.status(401).send('Invalid refresh token');
}
const row = find.rows[0];
if (row.revoked || new Date(row.expires_at) < new Date()) {
return res.status(401).send('Refresh token expired or revoked');
}
// 3) émettre nouveaux tokens
const user = { id: row.user_id }; // récupérer plus d'infos si besoin
const accessToken = signAccessToken(user);
const newRefresh = signRefreshToken();
const newHash = await bcrypt.hash(newRefresh, 10);
// 4) stocker nouveau token et marquer l'ancien remplacé
await pool.query(
'INSERT INTO refresh_tokens (user_id, token_hash, expires_at) VALUES ($1, $2, now() + $3::interval) RETURNING id',
[row.user_id, newHash, `${REFRESH_TTL_DAYS} days`]
);
await pool.query('UPDATE refresh_tokens SET replaced_by = (SELECT max(id) FROM refresh_tokens) WHERE id = $1', [row.id]);
res.json({ accessToken, refreshToken: newRefresh });
} catch (err) {
console.error(err);
return res.status(401).send('Invalid token');
}
});
Remarque importante : l'exemple utilise bcrypt pour illustrer ; en production, préférez un hachage adapté aux tokens (ex : HMAC + secret ou argon2) et stockez une empreinte non réversible. Ne stockez jamais le refresh token en clair.
Si un token A est utilisé pour obtenir B et plus tard A est réutilisé (par un attaquant), vous devez :
Options selon charge :
Indicateurs à suivre après déploiement :
La rotation des refresh tokens est une mesure de sécurité efficace pour un SaaS. En implémentant : hachage sécurisé, stockage indexé, détection de réutilisation et logs, vous réduisez fortement le risque d’usurpation de session. Pour une implémentation robuste en production, testez aussi les scénarios multi-device (un utilisateur sur 5 appareils), la révocation granulaire et l'intégration avec vos procédures de support.
Besoin d’un audit ou d’un accompagnement pour sécuriser l’authentification de votre SaaS ? Consultez nos services techniques et experts Node.js et SaaS : technologies nodejs, services SaaS, ou contactez-nous pour une évaluation personnalisée.
Contactez nous pour recevoir un devis gratuitement, des réponses à vos questions ou une séance de consulting offerte avec l'un de nos experts :
