Пользователь залогинился, получил короткий токен, длинный записан в базу (экспайр и слепок устройства). Сеанс работает, при каждом запросе мы сверяем слепок из короткого с тем что записан для длинного в базе. Если совпадает - ок, пропускаем короткий, рефрешим его и экспайр длинного. Сеанс завершен, пользователь свалил. Прошло три дня, он открывает страницу. Бек получает протухший короткий токен. Смотрит слепок в базе, сверяет. Если экспайр длинного не протух - восстанавливает короткий и пользователь авторизован без ввода логина. Если длинный протух, если пришел слепок другого устройства - длинный дискредитирован, удаляем из базы и требуем принудительного логина