stateless hijack token + fixes