Где хранить токены?

это где вы прочитали что в сторе не стоит хранить токены?

Роман Александрович, например тут и еще много где.

Андрей, и где тут пишут что нельзя хранить в сторе редукса ??

Роман Александрович, например, тут

Вот, что ответили автору (гуглоперевод) "Redux сохраняет состояние в объекте JavaScript . Это делает его уязвимым для атаки XSS, как localStorage или sessionStorage. Если вам нужно, чтобы ваш JWT читался на стороне клиента, вы можете свободно использовать Redux, просто убедитесь, что вы правильно позаботились о XSS. Если JWT не требуется на стороне клиента, лучше оставьте его в файле cookie httpOnly и вместо этого обработайте CSRF."

Роман Александрович, я про Storage (Local|Session).
Видимо прочитал стор как Storage.