это самопильная авторизация, прикручиная на скорую руку поверх web куков всяких, но не суть, токен экспарится но узнать когда мы не можем, ну разве что замерить но это трешь. Еще refresh token умирает если зайти с другого устройства, соответсвенно можно получить ошибку даже при попытки обновления access token (но в этом случае просто force logout)