Il binding del token è un controllo di sicurezza che vincola un token, un artefatto o una credenziale a una specifica sessione, utente, dispositivo o flusso di lavoro. Invece di considerare il token come portabile, il sistema verifica che venga presentato esattamente nel contesto in cui è stato emesso. Se il contesto non corrisponde, il token viene rifiutato.
Questo è importante perché gli attacchi di replay spesso hanno successo quando un aggressore copia un token valido e lo riutilizza altrove. Nei sistemi web, ciò può significare sessioni dirottate; nelle API di IA, può significare il replay di artefatti di ragionamento nascosti tra conversazioni o tenant. Un binding corretto aiuta a impedire confusione di stato, riuso tra sessioni e accesso non autorizzato a log o dati di protocollo memorizzati nella cache. I difensori lo usano insieme a durate brevi, controlli di firma, valori nonce e una rigorosa convalida della sessione. Se il binding del token è debole o assente, qualsiasi token compromesso può diventare un ponte da una falla limitata a una compromissione più ampia.