Może oznaczać uwierzytelnik dowodzący kontroli nad sekretem, wartość jednorazową wysyłaną podczas wymiany lub token sesji prezentowany po zalogowaniu. O znaczeniu i właściwościach bezpieczeństwa decyduje protokół — a nie etykieta.
Aktualne wytyczne NIST dotyczące tożsamości cyfrowej nazywają środek uwierzytelniania trzymany przez użytkownika uwierzytelnikiem (authenticator); wcześniejsze wydania nazywały go tokenem. Dokumentacja oprogramowania używa też określenia „auth token" dla sekretów sesji i tokenów dostępu OAuth, choć te wartości kontynuują sesję lub przenoszą autoryzację po uwierzytelnieniu. Projektanci powinni nazywać dokładny typ tokenu i protokół, zamiast polegać na pojęciu parasolowym.
Najważniejsze punkty
Możliwe formyUwierzytelniki sprzętowe, kody jednorazowe, podpisane komunikaty protokołu, tokeny dostępu typu bearer i ciasteczka sesji mają różne właściwości zaufania i odtwarzania.
OchronaTrzymaj wartości tokenów poza URL-ami i logami, używaj chronionego transportu i przechowywania, waliduj wydawcę i odbiorcę, gdzie to stosowne, i ograniczaj dostęp kodowi klienta.
Cykl życiaDla każdego typu tokenu zdefiniuj emisję, wiązanie, zakres, wygaśnięcie, rotację, unieważnianie, wykrywanie odtwarzania i reakcję na podejrzenie kradzieży.
Istotne ograniczenieToken bearer może dać jego posiadaczowi efektywny dostęp tokenu bez kolejnej kontroli tożsamości. Logowanie wieloskładnikowe nie chroni sesji, jeśli użyteczny token po uwierzytelnieniu zostanie skradziony.