Token nośnika

Token nośnika (bearer token) to token dostępu API, który daje posiadaczowi (« nośnikowi ») prawo dostępu do zasobów chronionych, bez dodatkowego dowodu tożsamości — sama posiadłość wystarczy, jak gotówka. Przesyłany jest w nagłówku HTTP Authorization: Bearer <token>. W OAuth 2.0 : tokeny nośnika są standardowym formatem tokena dostępu ; zazwyczaj mają krótki czas żywotności i zawierają zakresy, które ograniczają, co może robić nośnik. REST API Certyneo używa tokenów nośnika do uwierzytelniania wywołań programowych : tworzenie kopert, sprawdzanie statusu, konfiguracja webhooków i pobieranie podpisanych dokumentów. Zagrożenia bezpieczeństwa : ponieważ token jest identyfikatorem, musi być przesyłany wyłącznie przez TLS, nigdy nie może być ujawniony po stronie klienta ani rejestrowany, i powinien być regularnie odnawiany ; wyciekły token nośnika jest równie niebezpieczny jak wyciekłe hasło do czasu jego wygaśnięcia lub odwołania. Dobra praktyka : ograniczyć każdy token do ściśle niezbędnych uprawnień, ustawić krótki czas wygaśnięcia i preferować jeden token na integrację, aby móc odwołać jeden bez wpływu na pozostałe.