アクセストークンの期限が切れたとき、再ログインなしで新しいものをもらうためのトークン（RFC 6749）。
| アクセストークン | リフレッシュトークン | |
|---|---|---|
| 送り先 | MCP サーバー（毎回） | 認可サーバー（更新時だけ） |
| 寿命 | 短い | 長い |
よく送るほど漏れやすいので、アクセストークンは短命にする。代わりにリフレッシュトークンで更新する。
POST /token
grant_type=refresh_token&refresh_token=...&client_id=s6BhdRkqt3
リフレッシュトークンは長命なので、使うたびに新しいものに交換し、古いものは無効にする（ローテーション、RFC 9700 Section 4.14）。