Bearer-токен работает у любого, кто его держит. Разбор трёх слоёв в redb.Identity : BFF без токена в браузере, привязка к ключу через DPoP, быстрый отзыв. Access-token по умолчанию предъявительский. Это значит ровно то, как звучит: кто его держит, тот и вы. Сервер не может отличить настоящего…