La convalida dell'audience del token è la pratica di verificare che una credenziale, come un token bearer o un JWT, sia stata emessa per l'esatto server o API che la riceve. Molti token includono un claim audience che identifica la risorsa prevista. Se l'audience non corrisponde, il token dovrebbe essere rifiutato anche se la firma è valida.
Questo controllo è importante perché i token validi sono spesso riutilizzabili da chiunque li possieda. Senza i controlli sull'audience, un token destinato a un servizio potrebbe essere accettato da un altro, consentendo replay, escalation dei privilegi o accesso non previsto tra sistemi interni. I difensori usano la convalida dell'audience per limitare l'inoltro dei token, proteggere i microservizi e i server di strumenti AI, e fermare i problemi di confused deputy in cui un componente fidato passa una credenziale al posto sbagliato. In implementazioni sicure, la convalida dell'audience è affiancata da durate brevi dei token, permessi circoscritti e registrazione degli eventi per ridurre l'impatto di furto o instradamento errato.