[ CONSULTA ] Seguridad del registration token de FCM

[mocelet]

En FCM tenemos la clave de servidor (que como nos la roben cualquiera puede enviar notificaciones a diestro y siniestro a los pobres usuarios), y por otro lado cada cliente tiene su token de registro.

La documentación al final del todo indica que el token de registro hay que mantenerlo secreto. ¿Cómo de secreto?

Entiendo que no se transmita en claro y cosas así, ¿pero hay algún problema de seguridad por guardar el token del usuario en las preferencias por poner un ejemplo? Un caso de uso podría ser al refrescar el token poder enviar al servidor el nuevo para añadirlo y el viejo para borrarlo. O si el usuario hace logout de la aplicación en un dispositivo saber qué token es el que hay que borrar.

Según entiendo con el token de registro de un usuario realmente nadie puede hacer nada porque el único que tiene permiso para enviar a ese usuario es el servidor autorizado, ¿o me he perdido algo?.