O maintenance token é o único artefato de autenticação — não há usuário, senha nem client_id.
Ele fica apenas neste navegador enquanto a tela estiver aberta e acompanha cada chamada em cabeçalho. "Sair" é descartá-lo — não há sessão no servidor.
Recuperada automaticamente e somente leitura: a cesta é imutável desde o lock.