# Czym jest token uwierzytelniający?

> Token uwierzytelniający (authentication token) to zależne od kontekstu określenie wartości lub urządzenia używanego podczas uwierzytelniania albo przenoszącego wynik pomyślnego uwierzytelnienia.

- Kanoniczny adres URL: https://yellowcube.eu/pl/glossary/authentication-token/
- Wydawca: Yellow Cube
- Język: pl
- Kontakt: hello@yellowcube.eu

## Treść

Może oznaczać uwierzytelnik dowodzący kontroli nad sekretem, wartość jednorazową wysyłaną podczas wymiany lub token sesji prezentowany po zalogowaniu. O znaczeniu i właściwościach bezpieczeństwa decyduje protokół — a nie etykieta.

Aktualne wytyczne NIST dotyczące tożsamości cyfrowej nazywają środek uwierzytelniania trzymany przez użytkownika uwierzytelnikiem (authenticator); wcześniejsze wydania nazywały go tokenem. Dokumentacja oprogramowania używa też określenia „auth token" dla sekretów sesji i tokenów dostępu OAuth, choć te wartości kontynuują sesję lub przenoszą autoryzację po uwierzytelnieniu. Projektanci powinni nazywać dokładny typ tokenu i protokół, zamiast polegać na pojęciu parasolowym.

### Najważniejsze punkty

- **Możliwe formy:** Uwierzytelniki sprzętowe, kody jednorazowe, podpisane komunikaty protokołu, tokeny dostępu typu bearer i ciasteczka sesji mają różne właściwości zaufania i odtwarzania.
- **Ochrona:** Trzymaj wartości tokenów poza URL-ami i logami, używaj chronionego transportu i przechowywania, waliduj wydawcę i odbiorcę, gdzie to stosowne, i ograniczaj dostęp kodowi klienta.
- **Cykl życia:** Dla każdego typu tokenu zdefiniuj emisję, wiązanie, zakres, wygaśnięcie, rotację, unieważnianie, wykrywanie odtwarzania i reakcję na podejrzenie kradzieży.
- **Istotne ograniczenie:** Token bearer może dać jego posiadaczowi efektywny dostęp tokenu bez kolejnej kontroli tożsamości. Logowanie wieloskładnikowe nie chroni sesji, jeśli użyteczny token po uwierzytelnieniu zostanie skradziony.

### Powiązane terminy

[Uwierzytelnianie](<https://yellowcube.eu/pl/glossary/authentication/>) · [OAuth 2.0](<https://yellowcube.eu/pl/glossary/oauth-2-0/>) · [OpenID Connect (OIDC)](<https://yellowcube.eu/pl/glossary/openid-connect/>) · [Klucz API](<https://yellowcube.eu/pl/glossary/api-key/>) · [Przejęcie konta (ATO)](<https://yellowcube.eu/pl/glossary/account-takeover/>)

### Źródła

[NIST SP 800-63B-4: Authentication and Authenticator Management](https://pages.nist.gov/800-63-4/sp800-63b.html) · [RFC 6750: OAuth 2.0 Bearer Token Usage](https://www.rfc-editor.org/rfc/rfc6750)

## Budujmy skuteczniejszą cyberobronę razem

Budujemy trwałe partnerstwa oparte na zaufaniu, wiedzy i wspólnych sukcesach. Chcesz rozwijać firmę, poszerzyć ofertę cyberbezpieczeństwa lub wprowadzić innowacyjne rozwiązania na nowe rynki? Yellow Cube wspiera Cię na każdym z tych etapów.

[Skontaktuj się z Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Źródło i zakres informacji

Ta wersja Markdown jest generowana z tych samych zatwierdzonych treści co kanoniczna strona HTML. Przy cytowaniu użyj kanonicznego adresu URL.