Auth token’ların süresi olduğu doğru, ancak bu her zaman saldırının bittiği anlamına gelmez.
Birçok sistemde token’lar refresh token veya persistent session mantığıyla çalışır. Eğer saldırgan bu token’ları ele geçirdiyse, sağlayıcı tarafından müdahale yapılmadıkça ya da token server-side revoke edilmedikçe erişim devam edebilir.