Bearer token

Un bearer token (gettone al portatore) è un token di accesso API che concede a chi lo detiene ("il portatore") il diritto di accedere a risorse protette, senza altre prove d'identità — il solo possesso è sufficiente, come il denaro contante. Viene trasmesso nell'intestazione HTTP Authorization: Bearer <token>. In OAuth 2.0 : i bearer token sono il formato standard di token di accesso; sono generalmente di breve durata e portano scopes che delimitano ciò che il portatore può fare. L'API REST di Certyneo utilizza bearer token per autenticare le chiamate programmatiche: creazione di buste, interrogazione dello stato, configurazione di webhook e download di documenti firmati. Enjeux di sicurezza : poiché il token è l'identificativo, deve circolare solo su TLS, non deve mai essere esposto lato client né registrato, e deve essere rinnovato regolarmente; un bearer token compromesso è altrettanto pericoloso quanto una password compromessa fino alla sua scadenza o revoca. Buona pratica : limitare ogni token ai permessi strettamente necessari, definire una scadenza breve e preferire un token per integrazione per poter revocarne uno senza interessare gli altri.