Sender-constraining è un controllo di sicurezza dei token che vincola un token alla prova di possesso, come una chiave privata o un segreto crittografico conservato sul dispositivo. Un token viene accettato solo quando chi lo presenta può anche dimostrare di possedere la chiave corrispondente, invece di mostrare semplicemente il token stesso.
Questo è importante perché molti token cloud e API sono altrimenti credenziali bearer: chiunque abbia la stringa può usarla. Se un attaccante ruba o riutilizza un token bearer, può ottenere accesso senza conoscere la password originale. Il sender-constraining riduce questo rischio rendendo i token copiati meno utili, a meno che l'attaccante non disponga anche del materiale di prova vincolato. I difensori lo usano nella federazione, nell'SSO e nell'accesso alle API per limitare gli attacchi di replay e rafforzare la fiducia nei flussi di identità ad alto valore.