Un token di email in arrivo è un valore segreto associato a un indirizzo email specifico dell'utente in GitLab. Quando GitLab riceve posta inviata a quell'indirizzo, il token aiuta a verificare che il messaggio sia autorizzato a eseguire azioni basate sull'email, come creare un issue o aprire una merge request per conto di quell'utente.
Questo è importante perché il token agisce come una credenziale, non solo come un indirizzo. Se viene esposto, un attaccante potrebbe essere in grado di inviare richieste apparentemente legittime tramite un flusso di posta senza accedere tramite l'interfaccia web. Ciò può aggirare presupposti relativi a VPN, allowlist di IP o sessioni del browser, perché la gestione dell'email è un percorso di accesso separato. I difensori dovrebbero trattare l'indirizzo come sensibile, limitare dove sono abilitate le azioni basate sull'email, applicare la protezione dei branch e le approvazioni, e reimpostare tempestivamente il token se si sospetta un'esposizione.