Isso vai depender do que voce quer fazer. Colocar a renovação de uma em uma hora vai diminuir o impacto de um token vazado por exemplo,mas vai exigir que o desenvolvedor de consuma sua API se autentique mais vezes podendo diminuir o desempenho da aplicação dele. Normalmente deixo válido por 24 horas considerando que minhas aplicações todas seguem as mais atualizadas técnicas de segurança e boas práticas de desenvolvimento.