La persistenza del token è un accesso continuato che rimane attivo dopo un cambio della password perché un token di autenticazione, un cookie di sessione, un token di aggiornamento o una credenziale del dispositivo è ancora valido. Molti sistemi cloud e web usano token, così gli utenti non devono reinserire la password a ogni richiesta.
È importante perché i reset della password non terminano automaticamente tutte le sessioni. Se un attaccante ruba un token valido tramite phishing, malware, furto della sessione del browser o abuso del consenso, può continuare ad accedere a email, file o applicazioni cloud finché il token non scade o non viene revocato. I difensori contrastano questo revocando le sessioni, invalidando i token di aggiornamento, esaminando gli accessi e applicando l'accesso condizionale e l'autenticazione multifattore. Il monitoraggio di un uso anomalo dei token è importante perché i token persistenti possono far sembrare le intrusioni una normale attività dell'utente.