Se poate referi la un autentificator care dovedește controlul unui secret, o valoare de unică folosință trimisă în timpul unui schimb sau un token de sesiune prezentat după autentificare. Protocolul — nu eticheta — determină semnificația și proprietățile sale de securitate.
Îndrumarea curentă NIST pentru identitate digitală numește mijlocul de autentificare deținut de utilizator un autentificator; edițiile anterioare îl numeau token. Documentația de software folosește și „auth token” pentru secrete de sesiune și tokenuri de acces OAuth, deși acele valori continuă o sesiune sau transmit autorizare după autentificare. Proiectanții ar trebui să numească tipul exact de token și protocolul în loc să se bazeze pe termenul umbrelă.
Puncte esențiale
Forme posibileAutentificatori hardware, coduri de acces de unică folosință, mesaje de protocol semnate, tokenuri de acces bearer și cookie-uri de sesiune au proprietăți diferite de încredere și rejucare.
ProtecțiePăstrați valorile tokenurilor în afara URL-urilor și jurnalelor, folosiți transport și stocare protejate, validați emitentul și audiența acolo unde este cazul și restricționați accesul din codul clientului.
Ciclu de viațăDefiniți emiterea, legarea, domeniul, expirarea, rotirea, revocarea, detecția rejucării și răspunsul la furt suspectat pentru fiecare tip de token.
Limitare importantăUn token bearer poate acorda deținătorului său accesul efectiv al tokenului fără altă verificare de identitate. Autentificarea multifactor nu protejează o sesiune dacă un token post-autentificare utilizabil este furat.