Un passaggio di accesso è il punto in cui un'identità verificata viene trasformata in credenziali utilizzabili, accesso al dispositivo o una sessione di account attiva. In altre parole, la prova di chi è una persona diventa la capacità di agire come quella persona all'interno di un sistema. Questo passaggio può includere l'emissione di una password temporanea, lo sblocco di una casella di posta, la registrazione di un dispositivo o l'attivazione di un ripristino tramite help desk.
È importante perché il passaggio rappresenta un confine di sicurezza, non solo un passaggio amministrativo. Se la verifica dell'identità è debole, o se l'IT fornisce l'accesso in un secondo momento senza ricontrollare la persona, un attaccante può infiltrarsi con documenti falsificati, un profilo rubato o una richiesta di ripristino manipolata con ingegneria sociale. I difensori riducono questo rischio vincolando la verifica all'emissione, richiedendo una forte rivalutazione al primo accesso e trattando la prima password, la registrazione del dispositivo e il recupero dell'account come eventi ad alto rischio. Un passaggio sicuro conferma che la stessa persona in carne e ossa che ha provato la propria identità è quella che riceve la credenziale.