Atualização proativa do JWT em Next.js com Auth.js para evitar riscos de segurança

Em aplicações Next.js que usam Auth.js v5 com estratégia JWT, um ponto que pesa na operação é o tempo de feedback na validação de permissões. Quando o payload do token está próximo de expirar, mas ainda assim há operações sensíveis, a dúvia é como fazer uma rotação do token que seja leve e segura.

Na prática, muitas equipes optam por atualizar o token antes do tempo de expiração, garantindo que as permissões estejam sempre atualizadas, especialmente em cenários de roles dinâmicas. Essa abordagem evita que o usuário realize operações com tokens desatualizados, o que pode gerar brechas ou problemas de segurança. A decisão fica mais saudável quando o time consegue medir o impacto depois.

No meu entendimento, o segredo está em uma estratégia híbrida: verificar a validade do token na middleware, mas também implementar uma rotina de refresh automático, que roda silenciosamente na background, sem impactar a experiência do usuário.

O que vocês fazem na prática para evitar esse atraso na atualização do token? Existe alguma estratégia eficiente que funcione bem na sua stack?