Un token di amministrazione è una credenziale privilegiata che consente a un utente, a un servizio o a un attaccante di agire con diritti amministrativi. A differenza di un normale cookie di sessione o di un token utente, di solito porta con sé autorizzazioni ampie: modificare impostazioni, creare account, gestire repository o emettere altre credenziali. Poiché si tratta di un segreto al portatore, chiunque lo possieda può spesso usarlo finché non scade o viene revocato.
Nella sicurezza informatica, i token di amministrazione sono importanti perché possono trasformare una piccola falla di autenticazione in una compromissione completa della piattaforma. Se un'applicazione ne emette o ne accetta uno in modo errato, un attaccante può saltare il normale processo di accesso e passare direttamente ad azioni ad alta fiducia. I difensori riducono questo rischio limitando l'ambito del token, usando durate brevi, ruotando i segreti, registrando l'emissione e l'uso dei token e proteggendo le API amministrative con autenticazione forte e controlli di approvazione.