Tokenrotatie

Tokenrotatie is een beveiligingspraktijk waarbij tokens die toegang geven tot systemen of data periodiek worden vervangen. Tokens omvatten API-tokens, OAuth-access- en refresh-tokens, sessie-tokens en cryptografische sleutels die in applicaties of services worden gebruikt.

Het doel van tokenrotatie is om de tijdsduur te beperken waarin een gecompromitteerd token bruikbaar kan zijn. Door regelmatig tokens te vervangen, verkort men de exposure window en wordt de kans op misbruik kleiner. Rotatie draagt ook bij aan naleving van normen en audits door betere controle op toegang en sleutelbeheer.

Hoe het werkt: stel een rotatiebeleid vast met vaste intervallen of op basis van risico. Automatiseer het uitgiften, migreren en intrekken van tokens. Gebruik versiebeheer zodat nieuwe tokens bestaan naast oude tijdens de transitie en zorg voor een migratiepad zodat services zonder onderbreking blijven draaien. Zorg voor veilige opslag en overdracht van de nieuwe tokens en voor tijdige intrekking van oude tokens.

Best practices omvatten onder meer het gebruik van geheimenbeheer-tools (zoals Vault, AWS Secrets Manager), korte rotatie-intervallen waar mogelijk, het toepassen van least privilege, out-of-band terugsleeven van tokens, gedocumenteerde auditlogs en continue monitoring op lekkages. Integreer rotatie in CI/CD-processen en test rotatie in staging.

Overwegingen bij implementatie zijn onder andere de impact op beschikbaarheid van systemen, backward compatibility en complexiteit bij grote en gedistribueerde omgevingen. Soms is een dubbele rotatie of staging-omgeving nodig om downtime te vermijden.

Zie ook: Secrets management, Key management, Identity and Access Management, beveiligingsbest practices.