Токен хранится в серверной сессии. Cookie содержит только случайный идентификатор. Сессия действует 8 часов.