Un'asserzione è una dichiarazione attendibile scambiata in un sistema di identità federata. Di solito indica che un utente si è autenticato con successo e può includere dettagli come l'identificatore dell'utente, l'appartenenza a gruppi o il livello di garanzia del login. L'asserzione è firmata o altrimenti protetta dall'identity provider emittente, in modo che il servizio ricevente possa verificare che sia stata creata da una fonte attendibile e non sia stata alterata durante il transito.
Le asserzioni sono importanti perché trasferiscono la fiducia tra sistemi. Nel single sign-on e nella federazione cloud, un servizio spesso accetta un'asserzione invece di chiedere all'utente di effettuare di nuovo l'accesso. Questo rende le asserzioni efficienti, ma anche di grande valore per gli aggressori: se vengono rubate, falsificate o riutilizzate, possono essere usate per impersonare un utente o aggirare la fase di autenticazione originale. I difensori riducono questo rischio con chiavi di firma robuste, una validazione rigorosa, tempi di validità brevi, controlli sull'audience e meccanismi che vincolano l'asserzione al destinatario previsto.