Un'affermazione di identità è una dichiarazione firmata che indica che un controllo dell'identità è già stato eseguito da un sistema affidabile. Nell'autenticazione federata, dice a un service provider che un utente o un servizio è stato verificato altrove, così l'applicazione affidabile può concedere l'accesso senza ripetere l'accesso iniziale. Le affermazioni sono comuni nei protocolli SSO e di federazione, in cui firma, emittente, pubblico e durata devono essere convalidati con attenzione.
Le affermazioni di identità sono importanti perché possono diventare una scorciatoia verso molti sistemi collegati. Se un attaccante ruba, falsifica o riproduce una affermazione valida, può impersonare un utente legittimo attraverso applicazioni e API. I difensori riducono questo rischio proteggendo le chiavi di firma, imponendo una convalida rigorosa, limitando la durata del token e registrando l'emissione e l'uso per il rilevamento delle anomalie. In pratica, l'affermazione è uno degli oggetti di fiducia centrali nel percorso dell'identità.