Le jeton est envoyé en POST et conservé dans un cookie HttpOnly. Il ne transite jamais par l'URL, qui serait enregistrée dans l'historique du navigateur et dans les journaux du reverse proxy.
HttpOnly