Bearer-Token

Ein Bearer-Token (Inhabertoken) ist ein API-Zugriffstoken, das dem Inhaber (dem "Träger") das Recht gewährt, auf geschützte Ressourcen zuzugreifen, ohne weitere Identitätsnachweise — der bloße Besitz reicht aus, wie Bargeld. Er wird im HTTP-Header Authorization: Bearer <token> übertragen. In OAuth 2.0 : Bearer-Tokens sind das Standardformat für Zugriffstokens; sie haben normalerweise eine kurze Lebensdauer und tragen Scopes, die einschränken, was der Inhaber tun kann. Die REST-API von Certyneo verwendet Bearer-Tokens zur Authentifizierung von Programmanrufen: Erstellung von Umschlägen, Statusabfragen, Webhook-Konfiguration und Download signierter Dokumente. Sicherheitsrisiken : Da der Token der Identifizierer ist, darf er nur über TLS übertragen werden, darf niemals clientseitig offengelegt oder protokolliert werden und sollte regelmäßig erneuert werden; ein durchgesickerter Bearer-Token ist so gefährlich wie ein durchgesickertes Passwort bis zu seiner Ablauf oder Wideruf. Best Practice : Jeden Token auf die streng erforderlichen Berechtigungen beschränken, eine kurze Ablaufzeit festlegen und ein Token pro Integration bevorzugen, um eines widerrufen zu können, ohne andere zu beeinflussen.