Bearer token

Bearer token (jeton au porteur) הוא token גישה API המעניק לבעליו ("הנושא") את הזכות לגשת למשאבים מוגנים, ללא הוכחת זהות נוספת - ההחזקה בלבד מספיקה, כמו כסף מזומן. הוא מועבר בכותרת HTTP Authorization: Bearer <token>. ב-OAuth 2.0: bearer tokens הם פורמט ה-token גישה הסטנדרטי; בדרך כלל הם בעלי משך חיים קצר ונושאים scopes המגבילים מה הנושא יכול לעשות. ה-API REST של Certyneo משתמשת ב-bearer tokens להסמכת קריאות תכנויות: יצירת enveloppes, שאילתת סטטוס, הגדרת webhooks והורדת מסמכים חתומים. סוגיות אבטחה: מכיוון שה-token הוא המזהה, הוא חייב להסתובב רק על TLS, לא להיחשף לעולם בצד הלקוח ולא להיות מתועד, ויש לחדש אותו באופן קבוע; bearer token שדלף הוא מסוכן כמו סיסמה דלופה עד לפקיעתו או שלילתו. Best practice: הגבל כל token להרשאות הנדרשות בדיוק, הגדר פקיעה קצרה ועדיף token אחד לכל אינטגרציה כדי שתוכל לשלול אחד ללא השפעה על אחרים.