Bearer token

Bearer token (žetonový přístupový systém) je přístupový token API, který dává tomu, kdo ho drží (« nositeli »), právo přistupovat k chráněným prostředkům bez dalších důkazů identity — pouhá držba postačuje, jako hotové peníze. Přenáší se v hlavičce HTTP Authorization: Bearer <token>. V OAuth 2.0 : bearer tokeny jsou standardní formátem přístupového tokenu; obvykle mají krátkou dobu trvání a obsahují scopes, které omezují, co může nositel dělat. REST API Certyneo používá bearer tokeny k ověřování programových volání: vytváření obálek, dotazování na stav, konfiguraci webhooků a stahování podepsaných dokumentů. Bezpečnostní rizika : protože je token identifikátorem, měl by cirkulovat pouze přes TLS, nikdy by neměl být přístupný na straně klienta ani zaznamenáván, a měl by být pravidelně obnovován; uniknutý bearer token je stejně nebezpečný jako uniknuté heslo až do jeho vypršení nebo odvolání. Doporučená praxe : omezit každý token na přísně nezbytná oprávnění, nastavit krátkou dobu platnosti a upřednostňovat jeden token na integraci, aby bylo možné jeden odvolat bez ovlivnění ostatních.