Das Token wird nur im Sitzungsspeicher dieses Tabs gehalten und als Header gesendet — nie in der URL.