Cấp cặp access token + refresh token cho tài khoản để dùng ở ứng dụng khác
(gửi qua header Authorization: Bearer).
Refresh token đổi mới sau mỗi lần dùng (rotate on use): luôn lưu lại refresh token mới trả về. Gửi lại refresh token cũ sẽ bị coi là lộ token và toàn bộ chuỗi token đó bị thu hồi.