Může označovat autentikátor, který dokazuje kontrolu tajné údaje, jednorázovou hodnotu zaslanou během výměny, či relační token prezentovaný po přihlášení. Protokol — nikoli označení — určuje jeho význam a bezpečnostní vlastnosti.
Současné NIST pokyny pro digitální identitu nazývají prostředek autentizace držený uživatelem autentikátor; dřívější edice jej nazývaly token. Softwarová dokumentace také používá „auth token" pro relační tajné údaje a přístupové tokeny OAuth, ačkoli tyto hodnoty pokračují relaci či předávají autorizaci po autentizaci. Návrháři by měli pojmenovat přesný typ tokenu a protokol, místo spoléhání na zastřešující pojem.
Klíčové body
Možné formyHardwarové autentikátory, jednorázové přístupové kódy, podepsané protokolové zprávy, bearer přístupové tokeny a relační cookies mají odlišné vlastnosti důvěry a přehrání.
OchranaUdržujte hodnoty tokenů mimo URL a logy, používejte chráněný transport a úložiště, validujte vydavatele a publikum, kde je aplikovatelné, a omezte přístup klientským kódem.
Životní cyklusDefinujte vydání, vázání, rozsah, expiraci, rotaci, zrušení, detekci přehrání a reakci na podezření na krádež pro každý typ tokenu.
Důležité omezeníBearer token může udělit svému držiteli efektivní přístup tokenu bez další kontroly identity. Vícefaktorové přihlášení nechrání relaci, pokud je použitelný post-autentizační token odcizen.