Token-as-cookie · 30 day expiry