Sesiones y tokens

Al iniciar sesión se devuelve un token de acceso de corta duración y un token de renovación de larga duración. Los tokens de renovación rotan en cada uso; si se vuelve a presentar uno antiguo, se revoca toda la sesión, y así se detecta un token robado.