Capire l'errore AADSTS700082 e i refresh token scaduti in OAuth di Microsoft

By Mirko Peters · 2026-04-20

Quando ricevi l'errore AADSTS700082, Microsoft ti sta dicendo che il tuo refresh token è scaduto, di solito perché è rimasto inutilizzato per troppo tempo. Succede ogni giorno nel sistema OAuth di Microsoft e crea problemi a sviluppatori e utenti che lavorano con tutto, da Azure AD a Microsoft 365 e Power Platform.

Automatically translated with AI from the original post. Read the English original

Cover: Stop OAuth Consent Attacks in Microsoft Entra ID

In breve, il refresh token è ciò che mantiene attiva la sessione senza chiederti di accedere di nuovo continuamente. Quando scade, la maggior parte delle app perde la possibilità di ottenere un nuovo access token e l'accesso viene interrotto. L'errore AADSTS700082 è il modo in cui la piattaforma di identità di Microsoft segnala questo blocco definitivo. Capire perché accade e come vengono gestite le sessioni OAuth è il primo passo per ripristinare l'accesso senza intoppi ed evitare problemi in futuro.

Cosa causa l'errore AADSTS700082 Refresh Token scaduto per inattività

Il codice di errore AADSTS700082 compare quando il sistema OAuth di Microsoft stabilisce che il tuo refresh token è diventato obsoleto, di solito perché non viene utilizzato da un certo periodo. Non si tratta del normale access token (che scade molto più rapidamente), ma del refresh token a vita più lunga, progettato per mantenerti connesso in background.

Nella piattaforma di identità Microsoft, ogni refresh token ha una durata massima e un timeout per inattività. Se la tua app o il tuo utente non usano il token per ottenere un nuovo access token entro un certo periodo (spesso 90 giorni o meno, a seconda dei criteri), Microsoft lo contrassegna come scaduto. Quando provi a usare quel token, ottieni l'errore AADSTS700082 «the refresh token has expired due to inactivity».

Può succedere sia con le sessioni nel browser delle single-page application (SPA) sia con le app native. L'idea di base? Se non c'è attività, il token viene trattato come un abbonamento palestra non rinnovato: dopo un po' non puoi più usare la struttura finché non ti iscrivi di nuovo. Timeout di sessione, regole di inattività rigide o aggiornamenti in background gestiti male sono cause comuni di questo errore, e frustrano sia gli utenti sia i tecnici IT che cercano di mantenere l'autenticazione senza interruzioni. Conoscere il criterio di Microsoft ti aiuta a capire perché compare l'errore e a iniziare a risolverlo.

Cause principali della scadenza dei token nella piattaforma di identità Microsoft

I refresh token scaduti non compaiono per caso: la piattaforma di identità Microsoft ha diversi trigger chiari integrati nel sistema. Capire cosa è in gioco ti aiuta a individuare rapidamente se sei di fronte a un limite di criterio, a un segnale di sicurezza o a un'azione amministrativa.

Più di una cosa può interrompere la sessione. A volte si tratta semplicemente di inattività, ma altre volte è il segnale di cambiamenti più profondi, come un reset della password, nuovi requisiti MFA, revoca decisa dall'amministratore o modifiche ai criteri di accesso condizionale. Ogni situazione lascia una sua traccia che può guidarti nella risoluzione dei problemi e nella risposta.

Nelle sezioni seguenti trovi i dettagli sulle cinque cause principali della scadenza dei token. Questo ti darà indicazioni concrete che tu stia sviluppando, supportando gli utenti o proteggendo l'ambiente. Che tu voglia semplicemente che tutto continui a funzionare o che punti a una sicurezza solida, capire il «perché» rende il ripristino molto più semplice.

Scadenza per inattività e criteri SPA a durata fissa

Scadenza per inattività: se un refresh token non viene usato per un periodo definito (di solito 90 giorni, ma può essere meno con alcuni criteri), Microsoft lo contrassegna come scaduto, indipendentemente dalla durata complessiva del token. È il classico scenario «refresh token expired due to inactivity».
Durata assoluta del token: ogni refresh token ha anche una durata massima, che l'attività da sola non può prolungare. Quando questo limite scade, spesso dopo un anno per impostazione predefinita, il token non è più valido, senza eccezioni.
Regole per le SPA (Single-Page Application): per le SPA, i criteri di Microsoft impongono spesso durate dei refresh token più restrittive e più brevi, soprattutto per via del rischio maggiore legato all'archiviazione nel browser. Le strategie di rinnovo silenzioso non funzionano per sempre: prima o poi gli utenti dovranno accedere di nuovo.

Eventi di sicurezza delle credenziali e modifiche all'account che incidono sui token

Reimpostazione della password: Quando un utente cambia la password, soprattutto in ambienti ibridi o sincronizzati, tutti i refresh token correnti vengono di norma invalidati per motivi di sicurezza.
Registrazione o reimpostazione dell'MFA: l'aggiunta o la reimpostazione dei metodi di autenticazione a più fattori fa scadere tutti i refresh token, costringendo ognuno a riautenticarsi.
Attività di accesso sospetta: se Microsoft rileva accessi a rischio su un account, la sicurezza può far scadere automaticamente i token per limitare i danni di una possibile violazione.
Modifiche al consenso concesso: le modifiche al consenso OAuth possono rendere immediatamente inutilizzabili anche i refresh token legittimi. Scopri come gli attacchi sfruttano questo aspetto in OAuth Consent Attack Explained.
Disabilitazione o eliminazione dell'account: se l'account Azure AD dell'utente viene disabilitato o eliminato, tutti i token smettono di funzionare immediatamente, senza avvisi e senza eccezioni.

Revoca da parte dell'amministratore e modifiche al consenso da parte dell'utente

Revoca del consenso alle app da parte dell'amministratore: quando un amministratore revoca le autorizzazioni concesse o esegue una rimozione massiva dei consensi, ogni refresh token associato a tali app viene immediatamente contrassegnato come non valido. Alla successiva richiesta di utilizzo da parte di un utente o di un servizio, viene visualizzato il temuto messaggio di token scaduto.
Ritiro del consenso da parte dell'utente: se un utente revoca l'accesso a un'app tramite il portale "My Apps" o il portale di sicurezza del proprio account, tutti i token emessi per quell'app smettono di essere validi all'istante. Nulla viene aggiornato finché il consenso non viene concesso di nuovo.
Governance automatizzata o prevenzione della perdita di dati: gli ambienti aziendali possono eseguire processi di governance periodici oppure reagire a comportamenti sospetti revocando forzatamente su larga scala i consensi alle app (soprattutto in Power Platform), invalidando le sessioni di decine o centinaia di utenti in un'unica operazione.
Applicazione dei criteri per i connettori: negli ambienti gestiti di Power Platform, le modifiche ai criteri dei connettori o dei dati possono far uscire di colpo i refresh token dalla circolazione, soprattutto se nuovi limiti di conformità o isolamento vengono applicati durante la notte.

Effetti dei criteri di accesso condizionale e dell'MFA sulla validità dei token

Aggiornamenti dei criteri di accesso condizionale: quando l'IT introduce una nuova regola di accesso condizionale o ne modifica una esistente, tutti i token emessi prima della modifica potrebbero essere invalidati. Questo accade spesso dopo l'attivazione di nuovi blocchi geografici o requisiti di conformità dei dispositivi.
Requisiti MFA/autenticazione step-up: se i requisiti MFA vengono aumentati, gli utenti con token "vecchi" (emessi prima dell'aggiornamento) saranno spesso costretti ad accedere di nuovo al successivo rinnovo.
Distribuzione più ampia dei criteri: l'introduzione massiva di criteri di accesso condizionale più inclusivi o a tempo (come discusso in Conditional Access Policy Trust Issues) provoca una scadenza diffusa dei token in nome della sicurezza.
Modifiche alla conformità/integrità del dispositivo: se lo stato di conformità di un dispositivo cambia (ad esempio viene contrassegnato come non conforme da Intune), i refresh token utilizzati su quel dispositivo vengono invalidati automaticamente.

Come risolvere l'errore di refresh token scaduto

Imbattersi nell'errore AADSTS700082 può sembrare di sbattere contro un muro, ma non sei bloccato per sempre. Risolvere un refresh token scaduto, soprattutto in ambienti Microsoft aziendali, significa combinare una rapida diagnosi con la capacità di capire quando è necessario riautenticarsi da zero.

Questa sezione illustra le opzioni disponibili. A volte basta una piccola pulizia o un controllo dei dati di sessione per rimetterti in carreggiata. Altre volte serve che l'utente o l'app stessa avvii un nuovo flusso OAuth e conceda di nuovo il consenso.

Vedremo nel dettaglio i passaggi di risoluzione dei problemi per individuare dove si è verificato il guasto, dalle anomalie nell'archiviazione locale alle modifiche delle policy a livello di organizzazione, e ti terremo lontano dagli hack che potrebbero ritorcersi contro di te. Se gestisci utenti o stai semplicemente cercando di far funzionare le integrazioni, troverai indicazioni chiare per un ripristino rapido nelle due sezioni successive.

Risoluzione dei problemi e correzioni per i refresh token scaduti

Pulisci l'archiviazione locale dei token: Inizia svuotando le cache locali o l'archiviazione del browser in cui potrebbe ancora trovarsi il refresh token scaduto. Così si elimina il rischio che l'app riutilizzi un token ormai non valido.
Verifica i criteri di durata dei token: Controlla la durata configurata dei refresh token e i periodi di inattività in Azure AD. Se sono troppo restrittivi, modifica questi criteri (nel rispetto delle linee guida di sicurezza) per estendere la validità futura dei token.
Controlla eventuali revoche da parte di amministratori o della sicurezza: Esamina le azioni amministrative recenti, come la rimozione di consensi, la deprovisioning di utenti o le modifiche ai criteri a livello di organizzazione, che potrebbero aver invalidato tutti i token. Solo un nuovo consenso o un intervento IT può ripristinare queste sessioni.
Individua modifiche a credenziali o sicurezza: Verifica che la password dell'utente non sia stata cambiata e che le impostazioni di MFA non siano state aggiornate, perché in entrambi i casi tutti i refresh token attuali verrebbero invalidati immediatamente.
Evita la sostituzione manuale dei token: Non provare a sostituire il token di un altro utente né a copiare token tra tenant. Raramente risolve il problema e può ritorcersi clamorosamente contro di te, generando avvisi di sicurezza di Microsoft.
Monitora i problemi di inattività: Configura controlli dello stato dei token nei tuoi strumenti di automazione o monitoraggio, così da ricevere un avviso prima che un numero elevato di token superi la soglia di scadenza per inattività, soprattutto in ambienti SaaS multiutente o multi-tenant.

Riautorizzare le applicazioni e ripristinare i dettagli della sessione

Chiedi agli utenti di riautenticarsi: Guidali ad accedere in modo interattivo: questo avvia il flusso OAuth completo, genera nuovi token e ripristina l'accesso alle risorse protette.
Richiedi il rinnovo del consenso: Se il consenso è stato revocato, gli utenti dovranno concedere di nuovo le autorizzazioni. Per le app dell'organizzazione potrebbe essere necessario il consenso dell'amministratore.
Ripristina lo stato della sessione in modo corretto: Progetta la tua app in modo che rilevi con eleganza i token scaduti e reindirizzi gli utenti alla pagina di accesso con messaggi chiari, evitando errori poco comprensibili come «token scaduto».
Verifica la conformità ai criteri: Prima di chiedere una nuova autenticazione, controlla che siano soddisfatti i requisiti di Accesso condizionale, di conformità del dispositivo e di MFA, per evitare cicli infiniti e frustrazione lato utente.

Prevenire i futuri problemi di scadenza dei token negli ambienti Microsoft

Se sei stanco di inseguire token scaduti, è meglio passare all'azione in modo proattivo. Nessuno ama le interruzioni improvvise causate da un refresh token dimenticato che scade, soprattutto in un progetto Microsoft 365, Azure o Power Platform in cui sono in gioco grandi interessi.

Questa sezione illustra le strategie che ti aiutano a precedere il problema, che si tratti di usare strumenti di automazione dei token di terze parti, di integrare flussi di autenticazione più intelligenti nel codice personalizzato o di configurare un monitoraggio che individui i rischi per le sessioni prima che se ne accorgano gli utenti reali.

Gestendo sia la parte tecnica sia quella legata alle persone nell'ambito di OAuth, le organizzazioni possono difendersi dalla perdita di produttività ed evitare telefonate d'emergenza al supporto. Le sezioni seguenti illustrano l'integrazione senza intervento manuale, le best practice più approfondite per l'autenticazione delle API e il valore di lasciare all'automazione ciò che un tempo richiedeva un impegno a tempo pieno. Se padroneggi questi aspetti, le tue app e i tuoi utenti te ne saranno grati.

Aggiornamento automatico dei token con Nango e piattaforme di integrazione per il 2026

Gestione del ciclo di vita dei token: Piattaforme come Nango monitorano, aggiornano e ruotano automaticamente i token OAuth, eliminando la necessità di logica di nuovo tentativo personalizzata o di gestione manuale.
Avvisi su errori e scadenze: Queste piattaforme di integrazione spesso offrono avvisi e dashboard quando un refresh token sta per scadere, consentendoti di intervenire prima che si verifichino interruzioni.
Scalabilità e sicurezza: Usare uno strumento progettato specificamente per l'orchestrazione dei token significa archiviazione sicura, minori rischi per gli sviluppatori e scalabilità più semplice in ambienti SaaS multi-tenant o aziendali.
Compatibilità futura: Le piattaforme migliori tengono traccia al posto tuo delle modifiche al flusso di autenticazione di Microsoft, così non ti trovi impreparato di fronte a un aggiornamento dei criteri nel 2026 o in un anno successivo.

Autenticazione API robusta: best practice più approfondite per la gestione dei token

Implementa l'aggiornamento silenzioso dei token: Quando possibile, usa flussi di aggiornamento in background («silenziosi») in modo che gli utenti vedano raramente le schermate di accesso, a meno che non sia assolutamente necessario.
Centralizza la gestione degli errori: Rileva e intercetta programmaticamente gli errori di scadenza dei token, mostrando messaggi utili per la riautenticazione invece di fallimenti silenziosi o messaggi incomprensibili.
Flussi di autenticazione di riserva: offri agli utenti esperienze di riautenticazione alternative e personalizzate con il tuo brand, soprattutto negli scenari multi-tenant o SaaS, così il rinnovo dei token non interrompe mai il loro flusso di lavoro.
Monitora e testa la validità dei token: integra controlli regolari dello stato dei token sia nella pipeline CI/CD sia nelle dashboard operative, per anticipare eventi di scadenza in massa.
Documenta e forma: assicurati che amministratori IT e sviluppatori conoscano il playbook: OAuth non deve restare un segreto per pochi. Guide utente e runbook possono fare la differenza quando i criteri cambiano o i servizi vengono aggiornati.

Trovare aiuto e documentazione sugli errori OAuth nella community di Microsoft

Risolvere gli errori dei token non è qualcosa che devi fare da solo. L'ecosistema Microsoft è vastissimo, ma se sai dove cercare, troverai moltissime risorse (documentazione ufficiale, forum della community e post aggiornati) pronte ad aiutarti a risolvere AADSTS700082 e tutto ciò che riguarda OAuth.

Che tu stia cercando l'ultimo cambiamento di criteri, un'analisi approfondita di uno scenario o le esperienze di professionisti che hanno già risolto lo stesso problema con il refresh token, il supporto della community offre un valore enorme. I forum e i thread in evidenza portano quasi sempre soluzioni reali che potresti non trovare nella sola documentazione Microsoft.

Nelle sezioni seguenti scoprirai come sfruttare al meglio i contenuti di supporto più utili: navigare nei thread più attivi, filtrare gli annunci più recenti e usare categorie o archivi per una risoluzione dei problemi più efficiente. Che tu stia facendo ricerche per te stesso o preparando un processo per il tuo team, padroneggiare queste fonti ti permette di restare sempre aggiornato sulle best practice di autenticazione.

Navigare tra forum, annunci e contenuti OAuth in evidenza di Microsoft

Consulta le discussioni in evidenza: i forum spesso segnalano i thread più seguiti o i problemi recenti contrassegnati come «risolti», ideali per trovare rimedi aggiornati agli errori di scadenza dei token, in particolare AADSTS700082.
Leggi gli annunci ufficiali: le nuove introduzioni di criteri OAuth e le modifiche alla durata dei token compaiono per primi nei post fissati nei forum e nelle sezioni ufficiali degli annunci di Azure o Microsoft 365.
Usa la ricerca per parole chiave con criterio: cerca codici di errore precisi («AADSTS700082 refresh token expired») e nomi di prodotto per trovare subito i post direttamente collegati al tuo problema.
Interagisci con gli esperti: partecipa ai thread per porre domande di chiarimento o per approfondire le soluzioni parziali. MVP e ingegneri Microsoft spesso rispondono per aiutare a risolvere gli scenari più complessi.

Usare l'indice, le categorie e i link per trovare supporto tecnico

Sfoglia per categoria: i siti di supporto e documentazione Microsoft suddividono il materiale di troubleshooting per prodotto (Azure AD, Power Platform) e per tipo di errore, rendendo semplice una ricerca mirata.
Usa l'indice per una navigazione rapida: individua l'indice della pagina di documentazione (spesso a sinistra o in alto) per arrivare direttamente alle sezioni su autenticazione, sessione o codici di errore.
Sfrutta gli archivi e i link di metadati: gli aggiornamenti di criteri passati e le guide approfondite al troubleshooting spesso sono archiviati: cercali per trovare soluzioni precedenti pertinenti alla tua configurazione.
Salva nei preferiti gli articoli di supporto chiave: conserva a portata di mano i link diretti alla documentazione Microsoft sugli errori OAuth più utili, così potrai rispondere rapidamente alle domande di colleghi e utenti.
Resta aggiornato: consulta regolarmente le Note dell'editore, i riepiloghi di metadati e i post con l'indice, così non perderai mai le modifiche che impattano il servizio nel playbook di identità di Microsoft, in continua evoluzione.