Token bearer

Un token bearer (jeton purtător) este un jeton de acces API care acordă celui care îl deține (« purtătorul ») dreptul de a accesa resurse protejate, fără alte dovezi de identitate — doar posesia este suficientă, ca și banii lichizi. Se transmite în antetul HTTP Authorization: Bearer <token>. În OAuth 2.0 : tokenurile bearer sunt formatul standard de jeton de acces ; sunt de obicei de scurtă durată și poartă scopuri care limitează ceea ce poate face purtătorul. API-ul REST Certyneo utilizează tokenuri bearer pentru a autentifica apelurile programatice : crearea plicurilor, interogarea statusului, configurarea webhooks și descărcarea documentelor semnate. Probleme de securitate : deoarece jetonul este identificatorul, trebuie să circule doar pe TLS, să nu fie niciodată expus pe client și nici înregistrat în jurnal, și trebuie reînnoit periodic ; un jeton bearer scurs este la fel de periculos ca o parolă scursă până la expirare sau revocare. Bună practică : limitați fiecare jeton la permisiuni strict necesare, definiți o expirare scurtă și preferați un jeton per integrare pentru a putea revoca unul fără a afecta pe ceilalți.