Le credenziali effimere sono segreti di autenticazione che esistono solo per un breve periodo, di solito per una sessione, una singola chiamata API o un'attività circoscritta. A differenza di password a lunga durata o chiavi API statiche, scadono rapidamente e sono spesso collegate a una specifica identità, dispositivo, carico di lavoro o policy. Esempi comuni includono token di breve durata, chiavi di sessione cloud temporanee e token di accesso delegato emessi da un provider di identità.
Sono importanti perché una durata breve riduce la finestra per il furto, il riutilizzo e il movimento laterale. Se un attaccante ruba un token effimero, potrebbe essere già non valido nel momento in cui viene usato in modo improprio, e dovrebbe funzionare solo per l'ambito limitato per cui è stato emesso. I difensori le utilizzano nei sistemi zero trust, nell'automazione cloud e nelle piattaforme di agenti AI per evitare accessi permanenti. Negli attacchi, i criminali spesso cercano di catturare queste credenziali da log, memoria, browser o servizi configurati in modo errato; in difesa, i team le associano al principio del privilegio minimo, a un forte vincolo di sessione e a tracce di audit rigorose.