È ragionevole memorizzare solo la chiave segreta HMAC in memoria?

Se la tua app è tale da poter utilizzare token di breve durata (30 minuti o meno), il riavvio del server probabilmente non sarà un grosso problema per la maggior parte dei tuoi clienti.

Dove diventa più un problema è se hai bisogno di scalare orizzontalmente il tuo server. Pensa al futuro, dove hai avuto successo e hai bisogno di scalare le scale, ad esempio usando un sistema come Spinnaker con Kubernetes per far ruotare dinamicamente altri server. Se non si persistono i token in modo che possano essere condivisi su tutti i server, i client dovranno in qualche modo essere associati al loro server di origine (magari utilizzando "sessioni appiccicose" nel servizio di bilanciamento del carico). persistendo i token emessi (non le chiavi segrete, solo i token stessi), ma dovrai assicurarti che solo i tuoi server autentici possano aggiungere token alla tua cache. Anche questo richiede convalida.

Non importa cosa, ci saranno ulteriori complessità se aumenterai di livello. C'è sempre più da considerare.

Capisco perché vorresti ruotare la tua chiave segreta durante il riavvio del server. Ma, credo che lo stesso si possa ottenere gestendo il tempo di scadenza dei token emessi. Inoltre, migliorerebbe l'esperienza dell'utente, dal momento che gli utenti non dovranno autenticarsi ogni volta che si riavvia il server.