{"id":1308,"date":"2026-11-09T15:00:00","date_gmt":"2026-11-09T14:00:00","guid":{"rendered":"https:\/\/remivernier.com\/?p=1308"},"modified":"2026-11-09T15:00:00","modified_gmt":"2026-11-09T14:00:00","slug":"entra-id-refresh-token-rejeu-revocation","status":"publish","type":"post","link":"https:\/\/remivernier.com\/index.php\/2026\/11\/09\/entra-id-refresh-token-rejeu-revocation\/","title":{"rendered":"Entra ID: refresh token, rejeu et r\u00e9vocation"},"content":{"rendered":"

Dans la vie d’un tenant Entra ID, ce moment arrive t\u00f4t ou tard: un collaborateur signale le vol de son portable, le support r\u00e9initialise son mot de passe, et pourtant une application continue d’acc\u00e9der \u00e0 sa messagerie pendant encore quelques minutes. L’\u00e9quipe s\u00e9curit\u00e9 veut alors savoir ce qui a surv\u00e9cu au changement de mot de passe, et pour combien de temps.<\/p>\n

La r\u00e9ponse tient presque toujours dans deux jetons. Le jeton d’acc\u00e8s vit peu de temps. Le refresh token vit longtemps et permet \u00e0 l’application d’obtenir de nouveaux jetons d’acc\u00e8s sans rien redemander \u00e0 l’utilisateur. Nous allons suivre un refresh token de son \u00e9mission \u00e0 sa r\u00e9vocation, en appelant directement le point de terminaison \/token et Microsoft Graph, et en lisant les codes AADSTS qu’Entra ID renvoie \u00e0 chaque refus.<\/p>\n

Pr\u00e9sentation de la maquette<\/h2>\n

Tenant: testlocal.onmicrosoft.com<\/p>\n

Utilisateur: user01@testlocal.onmicrosoft.com<\/p>\n

Application: app-monsite, enregistr\u00e9e comme client public (redirection http:\/\/localhost), avec la permission d\u00e9l\u00e9gu\u00e9e User.Read sur Graph<\/p>\n

Outils: curl et jq sur un poste d’administration, ainsi que le module Microsoft Graph PowerShell pour la r\u00e9vocation.<\/p>\n

Attention: les dur\u00e9es cit\u00e9es plus bas sont celles de la documentation Microsoft sur les refresh tokens<\/a>. Ce sont des valeurs par d\u00e9faut, qu’une strat\u00e9gie d’acc\u00e8s conditionnel peut raccourcir. Sur un tenant de production, il faut donc v\u00e9rifier ce qui s’applique r\u00e9ellement avant de b\u00e2tir une proc\u00e9dure dessus.<\/p>\n

Un jeton que nous ne pouvons pas lire<\/h2>\n

Le jeton d’acc\u00e8s est un JWT que nous pouvons d\u00e9coder en base64, comme nous l’avions fait pour l’ent\u00eate Authorization dans l’article sur les ent\u00eates HTTP WWW-Authenticate et Authorization<\/a>. Le refresh token Entra ID, lui, est chiffr\u00e9 et seule la plateforme d’identit\u00e9 Microsoft peut le lire. Il n’y a donc pas de claim exp<\/code> \u00e0 inspecter ni de date d’expiration \u00e0 extraire. Ce que nous pouvons lire, c’est la r\u00e9ponse du point de terminaison \/token, et surtout le message d’erreur qu’il renvoie quand il refuse le jeton.<\/p>\n

Le premier refresh token (appelons-le RT1) est \u00e9mis lors de l’\u00e9change du code d’autorisation, \u00e0 condition que le scope offline_access<\/code> ait \u00e9t\u00e9 demand\u00e9. Nous le pr\u00e9sentons ensuite au point de terminaison avec le grant refresh_token<\/code>:<\/p>\n

curl -s https:\/\/login.microsoftonline.com\/testlocal.onmicrosoft.com\/oauth2\/v2.0\/token \\\n  -d client_id=$CLIENT_ID \\\n  -d grant_type=refresh_token \\\n  --data-urlencode refresh_token=$RT1 \\\n  --data-urlencode \"scope=https:\/\/graph.microsoft.com\/User.Read offline_access\" \\\n  | jq 'del(.access_token, .refresh_token)'<\/code><\/pre>\n
Nous retirons volontairement les deux jetons de l’affichage. La r\u00e9ponse prend cette forme:<\/p>\n
{\n  \"token_type\": \"Bearer\",\n  \"scope\": \"https:\/\/graph.microsoft.com\/User.Read\",\n  \"expires_in\": 4732,\n  \"ext_expires_in\": 4732\n}<\/code><\/pre>\n
-> expires_in<\/code> concerne le jeton d’acc\u00e8s seulement, et rien dans la r\u00e9ponse ne donne la dur\u00e9e de vie du nouveau refresh token.<\/p>\n
Le champ refresh_token<\/code> contient un nouveau jeton, RT2. Un refresh token est remplac\u00e9 par un nouveau \u00e0 chaque utilisation. Par d\u00e9faut, il vit 90 jours dans tous les sc\u00e9narios, sauf quand il est envoy\u00e9 \u00e0 une URI de redirection de type SPA: dans ce cas il expire au bout de 24 heures, et les jetons obtenus ensuite \u00e0 partir de lui h\u00e9ritent de cette \u00e9ch\u00e9ance.<\/p>\n
C’est toute la diff\u00e9rence entre les deux mod\u00e8les. Pour une application web, mobile ou de bureau, la fen\u00eatre glisse: chaque utilisation produit un jeton neuf, et un client utilis\u00e9 r\u00e9guli\u00e8rement peut se passer de toute nouvelle saisie pendant des mois. Pour une SPA, l’\u00e9ch\u00e9ance est absolue et l’application doit refaire un flux interactif toutes les 24 heures, quelle que soit son activit\u00e9. Une strat\u00e9gie d’acc\u00e8s conditionnel avec une fr\u00e9quence de connexion ajoute une limite absolue par-dessus ces deux mod\u00e8les. Les strat\u00e9gies de dur\u00e9e de vie configurables ne s’appliquent plus aux refresh tokens depuis 2021: c’est l’acc\u00e8s conditionnel qui a pris le relais.<\/p>\n
Chaque fin de vie a son code d’erreur, toujours renvoy\u00e9 avec \"error\": \"invalid_grant\"<\/code>:<\/p>\n\n\n\n\n\n\n\n\n
Situation<\/th>\nNature de la limite<\/th>\nCode renvoy\u00e9<\/th>\n<\/tr>\n<\/thead>\n
Jeton inutilis\u00e9 trop longtemps (client non SPA)<\/td>\nGlissante<\/td>\nAADSTS700082<\/td>\n<\/tr>\n
Jeton \u00e9mis pour une SPA, 24 heures \u00e9coul\u00e9es<\/td>\nAbsolue<\/td>\nAADSTS700084<\/td>\n<\/tr>\n
Fr\u00e9quence de connexion de l’acc\u00e8s conditionnel atteinte<\/td>\nAbsolue<\/td>\nAADSTS70043<\/td>\n<\/tr>\n
Sessions r\u00e9voqu\u00e9es ou mot de passe chang\u00e9<\/td>\n\u00c9v\u00e9nement<\/td>\nAADSTS50173<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
Rejeu et r\u00e9vocation<\/h2>\n
Si nous rejouons RT1 alors que RT2 a d\u00e9j\u00e0 \u00e9t\u00e9 \u00e9mis, la plateforme d’identit\u00e9 Microsoft ne r\u00e9voque pas les anciens refresh tokens quand ils servent \u00e0 obtenir de nouveaux jetons d’acc\u00e8s. La documentation demande \u00e0 l’application de supprimer elle-m\u00eame l’ancien jeton. RT1 et RT2 restent donc utilisables tous les deux, et rejouer RT1 nous donne un RT3 parfaitement valide. Le remplacement \u00e0 chaque utilisation existe bien, mais aucune d\u00e9tection de r\u00e9utilisation ne vient avec. Ce point est tr\u00e8s important pour la suite: la RFC 9700 (OAuth 2.0 Security Best Current Practice) demande que les refresh tokens des clients publics soient soit li\u00e9s \u00e0 leur d\u00e9tenteur, soit soumis \u00e0 une rotation qui permet de rep\u00e9rer un jeton d\u00e9j\u00e0 utilis\u00e9.<\/p>\n
Ce qui arr\u00eate toute la cha\u00eene, c’est la r\u00e9vocation c\u00f4t\u00e9 annuaire. L’appel Graph revokeSignInSessions<\/a> invalide tous les refresh tokens \u00e9mis pour l’utilisateur, ainsi que les cookies de session de son navigateur. Pour cela, il fixe la propri\u00e9t\u00e9 signInSessionsValidFromDateTime<\/code> \u00e0 l’heure courante. En PowerShell, l’\u00e9quivalent est Revoke-MgUserSignInSession<\/a>, avec au minimum la permission User.RevokeSessions.All:<\/p>\n
Connect-MgGraph -Scopes \"User.RevokeSessions.All\",\"User.Read.All\"\nRevoke-MgUserSignInSession -UserId user01@testlocal.onmicrosoft.com\n\nGet-MgUser -UserId user01@testlocal.onmicrosoft.com `\n  -Property signInSessionsValidFromDateTime |\n  Select-Object SignInSessionsValidFromDateTime<\/code><\/pre>\n
La documentation pr\u00e9vient qu’il peut s’\u00e9couler quelques minutes avant que les jetons soient r\u00e9ellement r\u00e9voqu\u00e9s. Une fois ce d\u00e9lai pass\u00e9, le rejeu de RT1, RT2 ou RT3 donne la m\u00eame r\u00e9ponse:<\/p>\n
{\n  \"error\": \"invalid_grant\",\n  \"error_description\": \"AADSTS50173: The provided grant has expired due to it being revoked, a fresh auth token is needed. The user might have changed or reset their password. The grant was issued on '2026-11-09T08:12:41.0000000Z' and the TokensValidFrom date (before which tokens are not valid) for this user is '2026-11-09T09:30:05.0000000Z'.\",\n  \"error_codes\": [50173]\n}<\/code><\/pre>\n
Le message contient les deux dates qui comptent: la date d’\u00e9mission du grant d’origine et la nouvelle borne TokensValidFrom<\/code>. Tout jeton dont la cha\u00eene remonte \u00e0 une authentification ant\u00e9rieure \u00e0 cette borne est refus\u00e9, ce qui explique pourquoi la date du premier \u00e9change reste attach\u00e9e aux jetons qui en descendent.<\/p>\n
\n\n<\/marker><\/defs>\n\nClient app-monsite<\/text>\n\nEntra ID \/token<\/text>\n\ngrant_type=refresh_token (RT1)<\/text>\n\njeton d’acc\u00e8s + RT2 (RT1 reste valide)<\/text>\n\nrejeu de RT1<\/text>\n\njeton d’acc\u00e8s + RT3<\/text>\n\nrevokeSignInSessions<\/text>\nsignInSessionsValidFromDateTime = maintenant<\/text>\n\nRT1, RT2 ou RT3<\/text>\n\ninvalid_grant AADSTS50173<\/text>\n<\/svg>
Remplacement sans invalidation, puis r\u00e9vocation par la borne signInSessionsValidFromDateTime<\/figcaption><\/figure>\n
Attention, la r\u00e9vocation ne touche pas les jetons d’acc\u00e8s d\u00e9j\u00e0 \u00e9mis. Un jeton d’acc\u00e8s reste accept\u00e9 par la ressource jusqu’\u00e0 son expiration (une heure ou un peu plus par d\u00e9faut, d’o\u00f9 les 4732 secondes vues plus haut), sauf si la ressource prend en charge l’\u00e9valuation continue de l’acc\u00e8s (CAE). Exchange Online, SharePoint Online et Teams re\u00e7oivent alors l’\u00e9v\u00e9nement de r\u00e9vocation et rejettent le jeton presque imm\u00e9diatement. Les minutes de d\u00e9lai observ\u00e9es par le support dans notre histoire d’introduction viennent de l\u00e0.<\/p>\n
Autre pi\u00e8ge en environnement multi-tenant: les refresh tokens d’un invit\u00e9 B2B ne sont pas r\u00e9voqu\u00e9s dans le tenant de ressource. La r\u00e9vocation doit se faire dans son tenant d’origine.<\/p>\n
Ce qu’un attaquant en fait<\/h2>\n
Le sc\u00e9nario de compromission se r\u00e9sume en quelques \u00e9tapes. L’attaquant r\u00e9cup\u00e8re un refresh token, soit par un proxy de phishing de type adversary-in-the-middle qui relaie toute la connexion, MFA compris, soit par un infostealer qui vide le cache d’une application ou d’un navigateur sur le poste. Il le pr\u00e9sente ensuite depuis sa propre infrastructure. MITRE ATT&CK range ces deux temps sous T1528 (Steal Application Access Token) pour le vol et T1550.001 (Use Alternate Authentication Material: Application Access Token) pour l’usage. L’authentification forte a d\u00e9j\u00e0 eu lieu lors de la connexion d’origine, et le jeton en garde le b\u00e9n\u00e9fice. Sur un client non SPA, la fen\u00eatre glissante permet \u00e0 l’attaquant de prolonger l’acc\u00e8s aussi longtemps qu’il utilise le jeton, et ce que fait la victime ne l’en emp\u00eache pas, puisque ses propres renouvellements n’invalident rien.<\/p>\n
Le rayon d’impact d\u00e9passe la ressource d’origine. Un refresh token est li\u00e9 \u00e0 un couple utilisateur et client, mais pas \u00e0 une ressource ni \u00e0 un tenant. Avec un jeton obtenu pour Graph, nous pouvons donc demander des jetons d’acc\u00e8s pour toute autre ressource que ce client a le droit d’atteindre pour cet utilisateur. Plus l’application cliente a de permissions consenties, plus le jeton vol\u00e9 ouvre de portes. Les jetons de premi\u00e8re partie Microsoft, \u00e9mis pour des clients tr\u00e8s largement autoris\u00e9s, sont les plus int\u00e9ressants pour un attaquant. Le refresh token du navigateur et des applications natives sur un poste joint s’appuie de son c\u00f4t\u00e9 sur le PRT, dont nous avions d\u00e9taill\u00e9 la m\u00e9canique dans l’anatomie du Primary Refresh Token<\/a>.<\/p>\n
La d\u00e9tection est difficile, car un rejeu ressemble \u00e0 un renouvellement silencieux l\u00e9gitime. Il n’appara\u00eet pas dans les connexions interactives, aucune demande MFA n’est d\u00e9clench\u00e9e, et il se retrouve noy\u00e9 dans le volume \u00e9norme des journaux de connexions non interactives. Le signal le plus exploitable est l’incoh\u00e9rence r\u00e9seau au sein d’une m\u00eame session: un m\u00eame SessionId<\/code> utilis\u00e9 depuis des adresses ou des pays diff\u00e9rents dans un court intervalle. Dans Log Analytics, une premi\u00e8re requ\u00eate de chasse peut ressembler \u00e0 ceci:<\/p>\n
AADNonInteractiveUserSignInLogs\n| where TimeGenerated > ago(1d)\n| where IncomingTokenType == \"refreshToken\"\n| summarize IPs = make_set(IPAddress), Lieux = make_set(Location),\n            Debut = min(TimeGenerated), Fin = max(TimeGenerated)\n          by UserPrincipalName, SessionId, AppDisplayName\n| where array_length(IPs) > 1 and array_length(Lieux) > 1<\/code><\/pre>\n
Les r\u00e9sultats restent \u00e0 qualifier: un utilisateur nomade ou une sortie internet qui change d’adresse produit le m\u00eame motif. C’est en corr\u00e9lant avec l’ASN, la conformit\u00e9 de l’appareil (DeviceDetail<\/code>) et les d\u00e9tections d’Entra ID Protection, comme le jeton anormal, que nous \u00e9cartons les faux positifs.<\/p>\n
C\u00f4t\u00e9 durcissement, la proc\u00e9dure de r\u00e9ponse doit suivre le bon ordre: d\u00e9sactiver le compte, r\u00e9voquer les sessions, r\u00e9initialiser le mot de passe, puis v\u00e9rifier dans les journaux non interactifs qu’aucun renouvellement r\u00e9ussi n’appara\u00eet apr\u00e8s la borne signInSessionsValidFromDateTime<\/code>. Si nous r\u00e9voquons sans d\u00e9sactiver le compte alors que l’attaquant contr\u00f4le encore le point d’entr\u00e9e (le proxy de phishing ou le poste infect\u00e9), il r\u00e9cup\u00e8re simplement un nouveau jeton \u00e0 la connexion suivante de la victime.<\/p>\n
En pr\u00e9vention, je recommande de commencer par la protection des jetons (Token Protection) de l’acc\u00e8s conditionnel. Elle lie le jeton de session \u00e0 l’appareil qui l’a obtenu, ce qui rend le rejeu depuis une autre machine inop\u00e9rant. Sa couverture reste limit\u00e9e \u00e0 certaines plateformes et applications, et il faut donc v\u00e9rifier dans la documentation lesquelles sont prises en charge au moment du d\u00e9ploiement. Sur les applications sensibles, une fr\u00e9quence de connexion courte transforme la fen\u00eatre glissante en limite absolue. Pour les applications d\u00e9velopp\u00e9es en interne, la documentation demande aussi de supprimer l’ancien refresh token d\u00e8s qu’un nouveau est obtenu: Entra ID ne le fait pas, et c’est donc le stockage c\u00f4t\u00e9 client qui d\u00e9termine combien de jetons valides tra\u00eenent sur un poste.<\/p>\n","protected":false},"excerpt":{"rendered":"
Comment Entra ID \u00e9met, renouvelle et r\u00e9voque un refresh token: dur\u00e9e glissante ou absolue, rejeu d’un ancien jeton, codes AADSTS et d\u00e9tection.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[20,3,37],"tags":[140,141,80,142,138,137,139],"class_list":["post-1308","post","type-post","status-publish","format-standard","hentry","category-azure-ad","category-protocoles","category-securite","tag-aadsts","tag-acces-conditionnel","tag-entra-id","tag-microsoft-graph","tag-oauth-2-0","tag-refresh-token","tag-revokesigninsessions"],"yoast_head":"\nEntra ID: refresh token, rejeu et r\u00e9vocation - R\u00e9mi VERNIER<\/title>\n<meta name=\"description\" content=\"Comment Entra ID \u00e9met, renouvelle et r\u00e9voque un refresh token: dur\u00e9e glissante ou absolue, rejeu d'un ancien jeton, codes AADSTS et d\u00e9tection.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/remivernier.com\/index.php\/2026\/11\/09\/entra-id-refresh-token-rejeu-revocation\/\" \/>\n<meta property=\"og:locale\" content=\"fr_FR\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Entra ID: refresh token, rejeu et r\u00e9vocation - R\u00e9mi VERNIER\" \/>\n<meta property=\"og:description\" content=\"Comment Entra ID \u00e9met, renouvelle et r\u00e9voque un refresh token: dur\u00e9e glissante ou absolue, rejeu d'un ancien jeton, codes AADSTS et d\u00e9tection.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/remivernier.com\/index.php\/2026\/11\/09\/entra-id-refresh-token-rejeu-revocation\/\" \/>\n<meta property=\"og:site_name\" content=\"R\u00e9mi VERNIER\" \/>\n<meta property=\"article:published_time\" content=\"2026-11-09T14:00:00+00:00\" \/>\n<meta name=\"author\" content=\"R\u00e9mi\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"\u00c9crit par\" \/>\n\t<meta name=\"twitter:data1\" content=\"R\u00e9mi\" \/>\n\t<meta name=\"twitter:label2\" content=\"Dur\u00e9e de lecture estim\u00e9e\" \/>\n\t<meta name=\"twitter:data2\" content=\"10 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/11\\\/09\\\/entra-id-refresh-token-rejeu-revocation\\\/#article\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/11\\\/09\\\/entra-id-refresh-token-rejeu-revocation\\\/\"},\"author\":{\"name\":\"R\u00e9mi\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/#\\\/schema\\\/person\\\/a4c76c63a5a3d94454484845e42fc906\"},\"headline\":\"Entra ID: refresh token, rejeu et r\u00e9vocation\",\"datePublished\":\"2026-11-09T14:00:00+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/11\\\/09\\\/entra-id-refresh-token-rejeu-revocation\\\/\"},\"wordCount\":1828,\"commentCount\":0,\"keywords\":[\"aadsts\",\"acces conditionnel\",\"entra id\",\"microsoft graph\",\"oauth 2.0\",\"refresh token\",\"revokesigninsessions\"],\"articleSection\":[\"Azure AD\",\"Protocoles\",\"S\u00e9curit\u00e9\"],\"inLanguage\":\"fr-FR\",\"potentialAction\":[{\"@type\":\"CommentAction\",\"name\":\"Comment\",\"target\":[\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/11\\\/09\\\/entra-id-refresh-token-rejeu-revocation\\\/#respond\"]}]},{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/11\\\/09\\\/entra-id-refresh-token-rejeu-revocation\\\/\",\"url\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/11\\\/09\\\/entra-id-refresh-token-rejeu-revocation\\\/\",\"name\":\"Entra ID: refresh token, rejeu et r\u00e9vocation - R\u00e9mi VERNIER\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/#website\"},\"datePublished\":\"2026-11-09T14:00:00+00:00\",\"author\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/#\\\/schema\\\/person\\\/a4c76c63a5a3d94454484845e42fc906\"},\"description\":\"Comment Entra ID \u00e9met, renouvelle et r\u00e9voque un refresh token: dur\u00e9e glissante ou absolue, rejeu d'un ancien jeton, codes AADSTS et d\u00e9tection.\",\"breadcrumb\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/11\\\/09\\\/entra-id-refresh-token-rejeu-revocation\\\/#breadcrumb\"},\"inLanguage\":\"fr-FR\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/11\\\/09\\\/entra-id-refresh-token-rejeu-revocation\\\/\"]}]},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/11\\\/09\\\/entra-id-refresh-token-rejeu-revocation\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Accueil\",\"item\":\"https:\\\/\\\/remivernier.com\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Entra ID: refresh token, rejeu et r\u00e9vocation\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/#website\",\"url\":\"https:\\\/\\\/remivernier.com\\\/\",\"name\":\"R\u00e9mi VERNIER\",\"description\":\"Identit\u00e9, s\u00e9curit\u00e9, SAP et IA : Active Directory, Azure & co...\",\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/remivernier.com\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"fr-FR\"},{\"@type\":\"Person\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/#\\\/schema\\\/person\\\/a4c76c63a5a3d94454484845e42fc906\",\"name\":\"R\u00e9mi\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"fr-FR\",\"@id\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g\",\"url\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g\",\"contentUrl\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g\",\"caption\":\"R\u00e9mi\"},\"sameAs\":[\"http:\\\/\\\/www.linkedin.com\\\/in\\\/remi-vernier\"]}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Entra ID: refresh token, rejeu et r\u00e9vocation - R\u00e9mi VERNIER","description":"Comment Entra ID \u00e9met, renouvelle et r\u00e9voque un refresh token: dur\u00e9e glissante ou absolue, rejeu d'un ancien jeton, codes AADSTS et d\u00e9tection.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/remivernier.com\/index.php\/2026\/11\/09\/entra-id-refresh-token-rejeu-revocation\/","og_locale":"fr_FR","og_type":"article","og_title":"Entra ID: refresh token, rejeu et r\u00e9vocation - R\u00e9mi VERNIER","og_description":"Comment Entra ID \u00e9met, renouvelle et r\u00e9voque un refresh token: dur\u00e9e glissante ou absolue, rejeu d'un ancien jeton, codes AADSTS et d\u00e9tection.","og_url":"https:\/\/remivernier.com\/index.php\/2026\/11\/09\/entra-id-refresh-token-rejeu-revocation\/","og_site_name":"R\u00e9mi VERNIER","article_published_time":"2026-11-09T14:00:00+00:00","author":"R\u00e9mi","twitter_card":"summary_large_image","twitter_misc":{"\u00c9crit par":"R\u00e9mi","Dur\u00e9e de lecture estim\u00e9e":"10 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/remivernier.com\/index.php\/2026\/11\/09\/entra-id-refresh-token-rejeu-revocation\/#article","isPartOf":{"@id":"https:\/\/remivernier.com\/index.php\/2026\/11\/09\/entra-id-refresh-token-rejeu-revocation\/"},"author":{"name":"R\u00e9mi","@id":"https:\/\/remivernier.com\/#\/schema\/person\/a4c76c63a5a3d94454484845e42fc906"},"headline":"Entra ID: refresh token, rejeu et r\u00e9vocation","datePublished":"2026-11-09T14:00:00+00:00","mainEntityOfPage":{"@id":"https:\/\/remivernier.com\/index.php\/2026\/11\/09\/entra-id-refresh-token-rejeu-revocation\/"},"wordCount":1828,"commentCount":0,"keywords":["aadsts","acces conditionnel","entra id","microsoft graph","oauth 2.0","refresh token","revokesigninsessions"],"articleSection":["Azure AD","Protocoles","S\u00e9curit\u00e9"],"inLanguage":"fr-FR","potentialAction":[{"@type":"CommentAction","name":"Comment","target":["https:\/\/remivernier.com\/index.php\/2026\/11\/09\/entra-id-refresh-token-rejeu-revocation\/#respond"]}]},{"@type":"WebPage","@id":"https:\/\/remivernier.com\/index.php\/2026\/11\/09\/entra-id-refresh-token-rejeu-revocation\/","url":"https:\/\/remivernier.com\/index.php\/2026\/11\/09\/entra-id-refresh-token-rejeu-revocation\/","name":"Entra ID: refresh token, rejeu et r\u00e9vocation - R\u00e9mi VERNIER","isPartOf":{"@id":"https:\/\/remivernier.com\/#website"},"datePublished":"2026-11-09T14:00:00+00:00","author":{"@id":"https:\/\/remivernier.com\/#\/schema\/person\/a4c76c63a5a3d94454484845e42fc906"},"description":"Comment Entra ID \u00e9met, renouvelle et r\u00e9voque un refresh token: dur\u00e9e glissante ou absolue, rejeu d'un ancien jeton, codes AADSTS et d\u00e9tection.","breadcrumb":{"@id":"https:\/\/remivernier.com\/index.php\/2026\/11\/09\/entra-id-refresh-token-rejeu-revocation\/#breadcrumb"},"inLanguage":"fr-FR","potentialAction":[{"@type":"ReadAction","target":["https:\/\/remivernier.com\/index.php\/2026\/11\/09\/entra-id-refresh-token-rejeu-revocation\/"]}]},{"@type":"BreadcrumbList","@id":"https:\/\/remivernier.com\/index.php\/2026\/11\/09\/entra-id-refresh-token-rejeu-revocation\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Accueil","item":"https:\/\/remivernier.com\/"},{"@type":"ListItem","position":2,"name":"Entra ID: refresh token, rejeu et r\u00e9vocation"}]},{"@type":"WebSite","@id":"https:\/\/remivernier.com\/#website","url":"https:\/\/remivernier.com\/","name":"R\u00e9mi VERNIER","description":"Identit\u00e9, s\u00e9curit\u00e9, SAP et IA : Active Directory, Azure & co...","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/remivernier.com\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"fr-FR"},{"@type":"Person","@id":"https:\/\/remivernier.com\/#\/schema\/person\/a4c76c63a5a3d94454484845e42fc906","name":"R\u00e9mi","image":{"@type":"ImageObject","inLanguage":"fr-FR","@id":"https:\/\/secure.gravatar.com\/avatar\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g","url":"https:\/\/secure.gravatar.com\/avatar\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g","caption":"R\u00e9mi"},"sameAs":["http:\/\/www.linkedin.com\/in\/remi-vernier"]}]}},"_links":{"self":[{"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/posts\/1308","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/comments?post=1308"}],"version-history":[{"count":1,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/posts\/1308\/revisions"}],"predecessor-version":[{"id":1310,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/posts\/1308\/revisions\/1310"}],"wp:attachment":[{"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/media?parent=1308"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/categories?post=1308"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/tags?post=1308"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}