Bearer токен

Bearer токен (токен на пред'явника) — це токен доступу API, який надає його власнику (« пред'явнику ») право доступу до захищених ресурсів без будь-якого іншого підтвердження особистості — достатньо самого володіння, як готівкою. Він передається в заголовку HTTP Authorization: Bearer <token>. У OAuth 2.0 : bearer токени є стандартним форматом токена доступу; як правило, вони мають коротку дію та мають области (scopes), які обмежують те, що може робити пред'явник. REST API Certyneo використовує bearer токени для автентифікації програмних викликів : створення конвертів, запиту статусу, налаштування webhooks та завантаження підписаних документів. Проблеми безпеки : оскільки токен є ідентифікатором, він повинен передаватися тільки по TLS, ніколи не повинен бути розкритий на стороні клієнта або залогований, і повинен регулярно оновлюватися; витік bearer токена є таким же небезпечним, як витік пароля, до його закінчення або відзиву. Добра практика : обмежити кожен токен суворо необхідними дозволами, встановити короткий термін дії та віддати перевагу одному токену на інтеграцію, щоб мати можливість відозвати один без впливу на інші.