Верный ли подход хранить access_token в cookie,а refresh_token в сессии?

Question

[Никита]

Сессия является самым безопасным местом хранения токена и недоступным для злоумышленника? Какую комбинацию еще можно выбрать?