Google dodaje wsparcie DPoP do OAuth, by chronić refresh tokeny przed kradzieżą
Google ogłosił wsparcie dla DPoP (Demonstrating Proof-of-Possession, RFC 9449) w swojej platformie OAuth – refresh tokeny są kryptograficznie wiązane z parą kluczy wygenerowaną po stronie klienta, dzięki czemu skradzione tokeny nie mogą zostać ponownie wykorzystane przez atakujących. Ochrona dotyczy tylko długotrwałych refresh tokenów, a krótkotrwałe access tokeny pozostają standardowymi tokenami Bearer, aby uniknąć dodatkowego obciążenia kryptograficznego przy dużym ruchu API. Google podkreśla też znaczenie DPoP dla zabezpieczania architektur wieloagentowych i Model Context Protocol (MCP), zalecając Google Cloud Secure Token Service do łańcuchów delegowania tokenów między agentami.