Comment organiser correctement le travail avec les tokens JWT côté backend ? Où et comment doivent être vérifiés les tokens d'accès et de rafraîchissement, comment assurer leur stockage sécurisé, et que faire si un token utilisateur doit être révoqué en raison d'une compromission avant son expiration ?