L'autenticazione tramite token è un metodo di accesso e di convalida delle richieste in cui un client deve presentare un token segreto prima che un servizio accetti le sue richieste. Il token può essere un segreto statico, una chiave API o una credenziale a breve durata emessa dopo l'accesso iniziale. Il server controlla il token a ogni richiesta per decidere se il chiamante è attendibile.
Nella sicurezza informatica, l'autenticazione tramite token è importante perché gli endpoint di gestione o API esposti vengono spesso esaminati per primi dagli attaccanti. Se un servizio accetta comandi senza un token valido, può diventare un bersaglio facile per accessi non autorizzati, furto di dati o esecuzione di codice remoto. I difensori usano l'autenticazione tramite token per aggiungere un confine di fiducia attorno a dashboard, pianificatori di attività e altre superfici di controllo, ma funziona meglio insieme all'isolamento della rete, a una gestione rigorosa dei segreti e all'accesso con privilegi minimi.