Google kini mendukung mekanisme RFC 9449 DPoP binding untuk OAuth refresh tokens yang menggantikan traditional bearer tokens dengan cryptographic keypairs di level aplikasi. Desain ini dirancang untuk mencegah infostealer malware dan adversary-in-the-middle attacks dengan cara mengikat kredensial berumur panjang ke asymmetric key yang dibuat oleh klien. Sementara itu, high-throughput access tokens tetap menggunakan standard bearer tokens untuk menghindari overhead kriptografi per-request di layer API gateway. Implementasi ini layak dicoba jika Anda perlu memperketat keamanan server-to-server integrations atau agent architectures dari pencurian kredensial, namun sebaiknya dilewati jika stack Anda kesulitan mengelola client-side key storage dan strict nonce handling. Skema ini juga tidak melindungi standard browser session cookies sehingga Anda masih harus menunggu penerapan Device Bound Session Credentials untuk cakupan keamanan penuh. sumber: developers.googleblog.com my other s...