AADSTS700082 en verlopen refreshtokens in Microsoft OAuth begrijpen

By Mirko Peters · 2026-04-20

Wanneer je de fout AADSTS700082 tegenkomt, geeft Microsoft aan dat je refreshtoken is verlopen—meestal omdat het te lang ongebruikt is gebleven. Dit speelt elke dag binnen het Microsoft OAuth-systeem en levert problemen op voor ontwikkelaars en gebruikers die werken met alles van Azure AD tot Microsoft 365 en Power Platform.

Automatically translated with AI from the original post. Read the English original

Cover: Stop OAuth Consent Attacks in Microsoft Entra ID

Kort gezegd zorgt een refreshtoken ervoor dat je sessie actief blijft, zonder dat je steeds opnieuw hoeft in te loggen. Wanneer het verloopt, kunnen de meeste apps geen nieuw accesstoken meer ophalen en is de toegang ineens weg. De fout AADSTS700082 is de manier waarop het identiteitsplatform van Microsoft die harde stop meldt. Als je begrijpt waarom dit gebeurt en hoe OAuth-sessies worden beheerd, zet je de eerste stap naar het soepel herstellen van de toegang en het voorkomen van problemen later.

Wat de fout AADSTS700082 veroorzaakt: refreshtoken verlopen door inactiviteit

De foutcode AADSTS700082 verschijnt wanneer het OAuth-systeem van Microsoft vaststelt dat je refreshtoken verouderd is, meestal omdat het al een tijdje niet is gebruikt. Het gaat hier niet om het gewone accesstoken (die verlopen veel sneller), maar om het refreshtoken met een langere levensduur, dat ervoor zorgt dat je op de achtergrond ingelogd blijft.

In het Microsoft Identity Platform heeft elk refreshtoken een maximale levensduur en een time-out voor inactiviteit. Als je app of gebruiker het token niet binnen een bepaalde periode gebruikt om een nieuw accesstoken op te halen (vaak 90 dagen of minder, afhankelijk van het beleid), markeert Microsoft het als verlopen. Wanneer je dat token probeert te gebruiken, krijg je de fout AADSTS700082 “the refresh token has expired due to inactivity”.

Dit kan gebeuren bij browsersessies in single-page applications (SPA's) en bij native apps. Het principe is eenvoudig: zonder activiteit wordt het token behandeld als een ongebruikt sportabonnement. Na verloop van tijd mag je er niet meer gebruik van maken totdat je je opnieuw aanmeldt. Time-outs van sessies, strikte regels voor inactiviteit of slecht afgehandelde achtergrondverversingen leiden vaak tot deze fout, en dat frustreert zowel gebruikers als beheerders die een naadloze authenticatie willen behouden. Als je het beleid van Microsoft kent, kun je beter bepalen waarom de fout optreedt en er vervolgens iets aan doen.

Hoofdoorzaken van tokenverloop in het Microsoft Identity Platform

Verlopen refreshtokens ontstaan niet zomaar. Het Microsoft Identity Platform kent meerdere duidelijke oorzaken die ingebouwd zijn in het systeem. Als je weet wat er speelt, kun je snel bepalen of het gaat om een beleidslimiet, een beveiligingsmelding of een beheerdersactie.

Er kan meer dan één oorzaak zijn waardoor je sessie wegvalt. Soms is dat simpelweg inactiviteit, maar soms wijst het op diepere wijzigingen, zoals een wachtwoordreset, nieuwe MFA-vereisten, intrekking door een beheerder of aanpassingen aan voorwaardelijke toegangsbeleid. Elke situatie laat een eigen spoor achter dat je kan helpen bij het oplossen van het probleem en het nemen van maatregelen.

In de volgende secties lees je meer over de vijf belangrijkste oorzaken van tokenverloop. Zo krijg je concreet inzicht, of je nu ontwikkelt, gebruikers ondersteunt of je omgeving beveiligt. Of je nu wilt dat alles blijft werken of de beveiliging zo strak mogelijk wilt hebben: als je weet waarom het gebeurt, is herstel een stuk eenvoudiger.

Verval door inactiviteit en vaste levensduur van SPA-beleid

Verval door inactiviteit: Als een refreshtoken gedurende een vastgestelde periode niet wordt gebruikt (meestal 90 dagen, maar bij bepaald beleid kan dat korter zijn), markeert Microsoft het als verlopen, ongeacht hoe lang de totale levensduur van het token is. Dit is het klassieke scenario “refresh token expired due to inactivity”.
Absolute levensduur van het token: Elk refreshtoken heeft ook een maximale levensduur, die je niet kunt verlengen door alleen maar activiteit. Zodra die termijn verstreken is, vaak standaard één jaar, is het token ongeldig, zonder uitzondering.
Regels voor SPA's (single-page applications): Voor SPA's dwingt het beleid van Microsoft vaak strengere en kortere levensduren voor refreshtokens af, vooral vanwege het verhoogde risico van browseropslag. Stille verversingsstrategieën werken niet eeuwig. Uiteindelijk moeten gebruikers opnieuw inloggen.

Beveiligingsgebeurtenissen met inloggegevens en accountwijzigingen die tokens beïnvloeden

Wachtwoordreset: Wanneer een gebruiker zijn wachtwoord wijzigt, zeker in hybride of gesynchroniseerde omgevingen, worden alle actieve refresh tokens doorgaans ongeldig gemaakt uit veiligheidsoverwegingen.
MFA-registratie of -reset: Het toevoegen of resetten van methoden voor multifactorauthenticatie zorgt ervoor dat alle refresh tokens verlopen, waardoor iedereen opnieuw moet aanmelden.
Verdachte aanmeldactiviteit: Als Microsoft riskante aanmeldingen op een account detecteert, kan de beveiliging tokens automatisch laten verlopen om de schade van een mogelijke inbraak te beperken.
Wijzigingen in toestemmingsverleningen: Wijzigingen in OAuth-toestemming kunnen zelfs legitieme refresh tokens direct onbruikbaar maken. Lees hier hoe aanvallers daar misbruik van maken: OAuth Consent Attack Explained.
Uitschakelen of verwijderen van een account: Als het Azure AD-account van de gebruiker wordt uitgeschakeld of verwijderd, stoppen alle tokens meteen met werken, zonder waarschuwing en zonder uitzonderingen.

Beheerdersintrekking en wijzigingen in toestemming door gebruikers

Intrekking van app-toestemming door beheerder: Wanneer een beheerder verleende machtigingen intrekt of een bulkverwijdering van toestemmingen uitvoert, wordt elk refresh token dat aan die apps is gekoppeld direct ongeldig. De volgende keer dat een gebruiker of service ze probeert te gebruiken, krijgt die de gevreesde melding dat het token is verlopen.
Intrekking van toestemming door de gebruiker: Als een gebruiker de toegang van een app intrekt via “Mijn apps” of het beveiligingsportaal van het account, houden alle tokens die voor die app zijn uitgegeven meteen op. Er wordt niets meer vernieuwd totdat de toestemming opnieuw wordt verleend.
Automatische governance of preventie van gegevenslekken: In grote omgevingen kunnen periodieke governancetaken draaien of kan er op verdacht gedrag worden gereageerd door app-toestemmingen massaal in te trekken (zeker in Power Platform). Daardoor vervallen sessies van tientallen of honderden gebruikers in één keer.
Handhaving van connectorbeleid: In beheerde Power Platform-omgevingen kunnen wijzigingen in connector- of gegevensbeleid refresh tokens uit de roulatie halen, vooral wanneer nieuwe compliance- of isolatiegrenzen ’s nachts worden afgedwongen.

Effecten van voorwaardelijke toegang en MFA-beleid op de geldigheid van tokens

Updates van beleid voor voorwaardelijke toegang: Wanneer IT een nieuwe regel voor voorwaardelijke toegang uitrolt of bestaande regels aanpast, kunnen alle tokens die vóór de wijziging zijn uitgegeven ongeldig worden. Dit gebeurt vooral vaak nadat nieuwe geoblokkades of vereisten voor apparaatcompliance zijn ingeschakeld.
MFA- of step-upauthenticatievereisten: Als de MFA-vereisten worden verscherpt, moeten gebruikers met “oude” tokens (van vóór de update) bij de volgende vernieuwing vaak opnieuw aanmelden.
Bredere beleidsuitrol: Het in één keer invoeren van meer inclusieve of tijdgebonden beleidsregels voor voorwaardelijke toegang (zoals besproken in Conditional Access Policy Trust Issues) zorgt voor brede tokenverloop omwille van de beveiliging.
Wijzigingen in apparaatcompliance of -integriteit: Als de compliancestatus van een apparaat verandert (bijvoorbeeld wanneer Intune het als niet-compliant markeert), worden refresh tokens die op dat apparaat worden gebruikt automatisch ongeldig gemaakt.

Hoe de fout voor verlopen refresh tokens te verhelpen

De fout AADSTS700082 kan aanvoelen als een muur, maar je zit er niet definitief mee vast. Het oplossen van een verlopen refresh token, zeker in Microsoft-omgevingen voor bedrijven, draait om een combinatie van snelle triage en het besef wanneer je helemaal opnieuw moet aanmelden.

In deze sectie zetten we je opties op een rij. Soms is een beetje opschonen of het controleren van je sessiegegevens genoeg om weer verder te kunnen. Andere keren moeten de gebruiker of de app zelf een nieuwe OAuth-flow starten en de toestemming helemaal opnieuw verlenen.

We lopen de precieze stappen voor probleemoplossing door om te achterhalen waar het misging, van problemen met lokale opslag tot wijzigingen in beleid op organisatieniveau, en we houden je weg van hacks die averechts kunnen werken. Als je gebruikers beheert of vooral integraties aan elkaar wilt koppelen, vind je in de volgende twee secties duidelijke richtlijnen voor een soepel herstel.

Probleemoplossing en oplossingen voor verlopen refresh tokens

Wis lokale tokenopslag: Begin met het leegmaken van lokale caches of browseropslag waar het verlopen refresh-token mogelijk nog aanwezig is. Zo voorkom je dat de app een al ongeldig token opnieuw gebruikt.
Controleer de levensduur van tokens: Bekijk de geconfigureerde levensduur van refresh-tokens en de inactiviteitsperiodes in je Azure AD. Pas deze beleidsregels aan (binnen de beveiligingsrichtlijnen) om de geldigheid van toekomstige tokens te verlengen als ze te restrictief zijn.
Controleer op beheerders- of beveiligingsintrekkingen: Kijk naar recente beheeracties, zoals het intrekken van toestemmingen, het de-provisioneren van gebruikers of wijzigingen in organisatiebreed beleid, die alle tokens mogelijk hebben ongeldig gemaakt. Alleen nieuwe toestemming of een oplossing door IT herstelt deze sessies.
Let op wijzigingen in inloggegevens of beveiliging: Controleer of het wachtwoord van de gebruiker niet is gewijzigd en of de MFA-instellingen niet zijn aangepast. Beide zorgen ervoor dat alle huidige refresh-tokens direct vervallen.
Vermijd handmatige tokenvervanging: Probeer niet het token van een andere gebruiker te gebruiken of tokens tussen tenants te kopiëren. Dit lost het probleem zelden op en kan spectaculair misgaan met beveiligingsmeldingen van Microsoft.
Houd inactiviteitsproblemen in de gaten: Stel tokencontroles in via automatisering of monitoringtools, zodat je wordt gewaarschuwd voordat grote aantallen tokens de inactiviteitsgrens bereiken, vooral in omgevingen met meerdere gebruikers of meerdere tenants in SaaS-scenario’s.

Opnieuw autoriseren van applicaties en herstellen van sessiegegevens

Vraag gebruikers opnieuw in te loggen: Laat gebruikers interactief inloggen. Hiermee start de volledige OAuth-flow, worden nieuwe tokens verkregen en krijgen ze weer toegang tot beveiligde resources.
Vraag toestemming opnieuw aan: Als de toestemming is ingetrokken, moeten gebruikers de machtigingen opnieuw verlenen. Voor organisatie-apps is mogelijk beheerderstoestemming nodig.
Herstel de sessiestatus op een nette manier: Ontwerp je app zo dat verlopen tokens worden gedetecteerd en gebruikers met een duidelijke melding naar de aanmeldpagina worden doorgestuurd. Vermijd verwarrende foutmeldingen zoals “token verlopen”.
Controleer naleving van beleid: Controleer voordat je opnieuw laat authenticeren of aan de voorwaardelijke toegang, apparaatcompliance en MFA-vereisten wordt voldaan. Zo voorkom je eindeloze lussen en frustratie bij gebruikers.

Toekomstige problemen met verlopen tokens in Microsoft-omgevingen voorkomen

Als je het zat bent om verlopen tokens na te jagen, is het tijd om proactief te worden. Niemand zit te wachten op onverwachte storingen doordat een vergeten refresh-token verloopt, zeker niet in een Microsoft 365-, Azure- of Power Platform-project waar veel op het spel staat.

In dit deel bespreken we strategieën waarmee je een stap voor blijft. Denk aan het gebruik van tokenautomatiseringstools van derden, slimmere authenticatiestromen in je eigen code, of monitoring die sessierisico’s signaleert voordat echte gebruikers er iets van merken.

Door zowel de techniek als de menselijke kant van OAuth te beheren, kunnen organisaties productiviteitsverlies beperken en hectische supporttelefoontjes voorkomen. De volgende secties behandelen integratie zonder handmatig ingrijpen, diepgaandere best practices voor API-authenticatie en de waarde van automatisering voor taken die vroeger een voltijdse hoofdpijn waren. Beheers deze zaken en je apps én je gebruikers zullen je dankbaar zijn.

Automatisch tokens vernieuwen met Nango en integratieplatforms voor 2026

Beheerde tokenlevenscyclus: Platforms zoals Nango bewaken, vernieuwen en roteren OAuth-tokens automatisch. Zo hoef je geen eigen retrylogica te bouwen of tokens handmatig af te handelen.
Fout- en verloopmeldingen: Deze integratieplatforms bieden vaak meldingen en dashboards wanneer een refresh-token bijna verloopt, zodat je kunt ingrijpen voordat er storingen optreden.
Schaalbaarheid en beveiliging: Met een tool die speciaal is gebouwd voor tokenorkestratie krijg je veilige opslag, minder risico voor ontwikkelaars en eenvoudiger schalen in SaaS-omgevingen met meerdere tenants of in enterprise-omgevingen.
Toekomstbestendigheid: De beste platforms houden wijzigingen in de authenticatiestroom van Microsoft voor je bij, zodat je niet voor verrassingen komt te staan door een beleidswijziging in 2026 of later.

Robuuste API-authenticatie: diepgaande best practices voor tokenbeheer

Implementeer stille tokenvernieuwing: Gebruik waar mogelijk achtergrondstromen (“stil”) voor het vernieuwen van tokens, zodat gebruikers zelden een aanmeldscherm zien tenzij dat echt nodig is.
Centraliseer foutafhandeling: Detecteer en onderschep verlopen tokens programmatisch en toon behulpzame meldingen om opnieuw te authenticeren, in plaats van stille fouten of onduidelijke berichten.
Alternatieve authenticatiestromen: Bied gebruikers alternatieve, herkenbare herauthenticatie-ervaringen, vooral in multi-tenant- of SaaS-scenario's, zodat het vernieuwen van tokens hun werkstroom nooit onderbreekt.
Tokengeldigheid regelmatig controleren en testen: Integreer periodieke controles van de tokenstatus in zowel je CI/CD-pijplijn als je operationele dashboards, zodat je massale verloopgebeurtenissen vroegtijdig opvangt.
Documenteren en trainen: Zorg dat IT-beheerders en ontwikkelaars het draaiboek kennen. Maak OAuth geen geheim voor insiders. Gebruikershandleidingen en runbooks kunnen de dag redden wanneer beleid wijzigt of services worden bijgewerkt.

Hulp en documentatie vinden voor OAuth-fouten in de Microsoft Community

Tokenfouten oplossen doe je niet in je eentje. Het Microsoft-ecosysteem is enorm, maar als je weet waar je moet zoeken, vind je veel bronnen: officiële documentatie, communityforums en actuele berichten. Die helpen je om AADSTS700082 en alles wat met OAuth te maken heeft te ontrafelen.

Of je nu op zoek bent naar de nieuwste beleidswijziging, een diepgaande scenarioanalyse of ervaringen van professionals die precies dezelfde problemen met vernieuwingstokens hebben opgelost: ondersteuning vanuit de community levert veel op. Forums en uitgelichte discussies bieden vrijwel altijd praktijkoplossingen die je in de Microsoft-documentatie alleen niet zou vinden.

In de volgende secties lees je hoe je het beste ondersteuningsmateriaal benut: populaire discussies doorlopen, filteren op nieuwe aankondigingen en categorieën of archieven gebruiken voor efficiënte probleemoplossing. Of je nu voor jezelf onderzoek doet of een werkwijze voor je team uitschrijft, met deze bronnen blijf je altijd op de hoogte van best practices rond authenticatie.

Navigeren door forums, aankondigingen en uitgelichte Microsoft OAuth-content

Uitgelichte discussies doorlopen: Forums markeren vaak populaire threads of recente opgeloste problemen. Die zijn ideaal om actuele oplossingen voor tokenverloopfouten te vinden, vooral AADSTS700082.
Officiële aankondigingen lezen: Nieuwe OAuth-beleidswijzigingen en wijzigingen in levensduur verschijnen het eerst in vastgezette forumberichten en in de aankondigingssecties van Azure of Microsoft 365.
Slim zoeken op trefwoorden: Zoek op precieze foutcodes ("AADSTS700082 refresh token expired") en productnamen om direct berichten te vinden die aansluiten bij je probleem.
Praat mee met experts: Stel in threads verduidelijkende vragen of volg deellösingen op. MVP's en Microsoft-engineers reageren vaak om lastige scenario's op te lossen.

Inhoudsopgave, categorieën en links gebruiken om technische ondersteuning te vinden

Bladeren per categorie: De ondersteunings- en documentatiesites van Microsoft splitsen probleemoplossing op in producten (Azure AD, Power Platform) en fouttypen, zodat gericht zoeken eenvoudig wordt.
Gebruik de inhoudsopgave voor snelle navigatie: Zoek de inhoudsopgave van een documentatiepagina (vaak links of bovenaan) om direct naar authenticatie-, sessie- of foutcodedetails te springen.
Gebruik archief- en metalinks: Oude beleidsupdates en diepgaande probleemoplossingsgidsen worden vaak gearchiveerd. Zoek daarin naar eerdere oplossingen die relevant zijn voor jouw omgeving.
Bookmark belangrijke ondersteuningsartikelen: Bewaar directe links naar Microsofts meest bruikbare OAuth-foutdocumentatie, zodat je vragen van collega's of gebruikers snel kunt beantwoorden.
Blijf op de hoogte: Bekijk regelmatig de Publisher's Notes, metasamenvattingen en inhoudsopgavepagina's, zodat je geen wijzigingen mist in Microsofts snel evoluerende identiteitsaanpak.