Google внедрила DPoP для защиты OAuth 2.0 от кражи токенов

Платформа Google OAuth добавила поддержку DPoP — механизма, привязывающего токены к криптографической паре ключей клиента, поэтому украденный токен нельзя воспроизвести без приватного ключа. DPoP применяется только к refresh-токенам, а access-токены остаются обычными Bearer-токенами.

• DPoP привязывает токен к асимметричной паре ключей клиента
• Защита действует только для refresh-токенов Google OAuth
• Для сессионных cookie Google и WICG разрабатывают DBSC
• Для мультиагентных сценариев рекомендован Google Cloud STS