Google OAuth добавил DPoP для защиты refresh-токенов

Google объявила о поддержке DPoP (Demonstrating Proof-of-Possession) в OAuth Platform с 15 октября 2026 года. Механизм криптографически привязывает refresh-токены к ключу клиента, что делает их бесполезными при краже через Infostealer и AiTM-атаки; access-токены остаются обычными Bearer-токенами.

• DPoP привязывает refresh-токен к приватному ключу клиента по RFC 9449
• Украденный refresh-токен нельзя использовать без подписи DPoP-доказательства
• Access-токены остаются Bearer для сохранения производительности API
• Для MCP и мультиагентных сценариев доступен Google Cloud STS