Un web token è una credenziale di sessione che consente a un servizio online di riconoscere un utente senza chiedere di nuovo la password. Può rappresentare una sessione di accesso attiva, una concessione API o una credenziale di accesso rinnovabile memorizzata in un browser, in un'app o in un sistema di autenticazione.
I web token sono importanti perché rubarne uno può aggirare completamente la protezione della password. Nel furto di credenziali, gli aggressori cercano cache di token, dati di sessione del browser o file di token specifici dell'applicazione e poi riutilizzano il token per accedere a account di posta, chat, cloud, gaming o SaaS. Questo può consentire la compromissione dell'account anche se la password originale viene cambiata. I difensori considerano il furto di token un problema di risposta agli incidenti: revocare le sessioni, invalidare i token di aggiornamento o le chiavi API quando possibile e analizzare accessi insoliti, attività dei processi e accessi da nuovi dispositivi. Controlli solidi sugli endpoint e durate di sessione brevi riducono il valore di un token rubato.