Autentiseringstokens

Autentiseringstokens er digitale bevis som bekrefter at en bruker eller enhet har blitt autentisert av en tjeneste. De brukes til å bevise identiteten ved påfølgende forespørsler uten at brukeren må logge inn igjen hver gang. Tokens leverer ofte også informasjon om hvilke rettigheter brukeren har, slik at klienten kan få tilgang til nødvendige ressurser.

Vanlige typer er tilgangstokens med kort levetid og refresh tokens med lengre levetid som brukes til å få nye tilgangstokens. I web- og mobilapplikasjoner er JWT (JSON Web Token) et utbredt format, mens andre tokenformer kalles opaque tokens. Tokens utstedes etter vellykket innlogging og sendes videre i forespørsler, typisk i en Authorization-header (Bearer) eller som en cookie.

Slik fungerer de ofte i praksis: en klient presenterer legitimasjon, tjenesten utsteder et token, og klienten bruker tokenet til å få tilgang til beskyttede ressurser. Tokens har vanligvis en tidsbegrensning og en mekanisme for fornyelse eller tilbakekalling. Sikker lagring og overføring er viktig, for eksempel ved bruk av TLS, sikre cookies (HttpOnly/Secure) og passende levetider for tokens.

Kjente rammeverk og standarder som omhandler autentiseringstokens inkluderer OAuth 2.0 og OpenID Connect, der tokens spiller en sentral rolle i autorisasjon og identifisering. Tokens kan også være underlagt tilbakekalling eller introspeksjon for å deaktivere tilgang ved behov. Riktige sikkerhetspraksiser, som PKCE for offentlige klienter og tydelig kontroll av tokenets omfang og mottaker, er viktige for å redusere risikoen for misbruk.