Un token di servizio è una credenziale progettata per il software piuttosto che per un utente umano. Consente a un sistema automatizzato, a un client API o a un agente AI di dimostrare la propria identità a un altro servizio senza affidarsi a una password a lunga durata o a un segreto condiviso permanente. In pratica, un token è di solito limitato a una specifica applicazione, ambiente o flusso di lavoro, e spesso può essere ruotato o revocato più facilmente rispetto alle credenziali statiche.
I token di servizio sono importanti perché riducono il raggio d'impatto quando l'automazione viene compromessa. Se un attaccante ruba un token, potrebbe ottenere solo un accesso limitato invece del controllo completo dell'account. I difensori li usano per applicare il principio del privilegio minimo, separare l'accesso delle macchine dai login umani e supportare audit e revoca. Negli attacchi reali, i token debolmente protetti vengono spesso abusati tramite la fuga di segreti nei log, nei repository di codice o negli agenti compromessi. Tra le difese efficaci ci sono durata breve, permessi ristretti, archiviazione in un secrets manager e controlli di policy prima che il token possa chiamare strumenti sensibili.