Un token applicativo è una stringa simile a una credenziale che il software usa per dimostrare la propria identità o autorizzare una sessione senza inviare ripetutamente un nome utente e una password. Viene spesso emesso dopo una fase di accesso e poi presentato a un'API, a una console o a un servizio per confermare che il chiamante è affidabile. A seconda del sistema, un token può avere una durata breve, essere limitato ad azioni specifiche e essere associato a un dispositivo, a un'app client o a una sessione di gestione.
Nella sicurezza informatica, i token applicativi sono importanti perché possono diventare un percorso diretto verso un accesso non autorizzato se vengono rubati, riutilizzati, indovinati o accettati senza un'adeguata convalida. Gli aggressori possono intercettare i token da log, browser, memoria o traffico di rete, quindi riutilizzarli per aggirare l'autenticazione normale. I difensori riducono questo rischio con una generazione robusta dei token, scadenze brevi, controlli su audience e scope, crittografia del trasporto, revoca e un monitoraggio rigoroso per individuare un uso anomalo dei token. Nelle console di gestione e nelle API, proteggere i token applicativi aiuta a proteggere anche il piano di controllo stesso.