Tokens: la llave que le dice al servidor quién es tú

Piensa en el ID card que te da el jefe cuando entras a la oficina. Sin ese, nadie te deja pasar. Con él, el guardián sabe exactamente quién eres y qué puertas te abren.

En la red, el token es ese pase. Lo genera el servidor cuando te logueas — cuando ingresas tu nombre y contraseña — y lo guardas en tu navegador o app. Cada vez que pides algo, le mandas el token junto con la petición. El servidor lo lee, verifica que sea válido, y te deja entrar.

No es la contraseña. Es un número largo, aleatorio, que cambia cada vez que te logueas. Si alguien lo roba, puede usarlo como si fuera tú — por eso se guarda en el celular, no en un papel. Si el servidor te revoca el token, ese pase ya no vale; es como cuando te quitan la llave de la oficina.

Los tokens modernos tienen fecha de vencimiento. Pasado el tiempo, se caducan y tienes que volver a loguearte. Esto protege contra el robo: aunque alguien lo robe, pasado un rato deja de servir.

Hay dos tipos principales: los de acceso, que duran minutos, y los de refrescamiento, que duran días. El de acceso es el pase que usas en cada petición. El de refrescamiento es el que le pides al servidor para cambiar el pase viejo por uno nuevo sin volver a poner la contraseña.

La analogía: es el pase de estacionamiento. Lo pones en el tablero del carro. El guardián lo lee y sabe cuánto tiempo te queda. Cuando se acaba, lo cambias. Si alguien te lo roba, puede usar el carro — pero solo hasta que caduque.

Mira si la app que usas te permite revocar tokens de sesión desde la configuración. Si ves una lista de dispositivos conectados, revoca los que no reconoces — eso cierra la puerta a cualquiera que tenga un pase viejo.