Токен на предъявителя предъявляют без связанного ключа; токен с подтверждением владения требует дополнительного криптографического доказательства.
Приложения и доступ к API
Токен на предъявителя
Определение
Токен на предъявителя — учётные данные, для использования которых достаточно владеть самим токеном без доказательства владения отдельным криптографическим ключом.
Также ищут: Bearer token · bearer-токен · предъявительский токен
Зачем это знать
Действующую строку на предъявителя защищают и при передаче, и в хранилище. Владение ею не отменяет проверку получателя, времени, полномочий и объекта.
Связи из словаря
Карта понятия
Токен на предъявителя
Связано
Доказательная часть
Что подтверждено
Любая сторона, владеющая токеном на предъявителя, может использовать его без доказательства владения криптографическим ключом.
Граница применимости: Свойства токена на предъявителя в OAuth 2.0.
Токен рекомендуется передавать в заголовке Authorization; параметр запроса URI не рекомендуется, потому что URL часто попадает в журналы.
Граница применимости: Передача токена на предъявителя по HTTP.
TLS защищает передачу токена, но не стирает его копию из журнала. В закрытом примере посторонний получил действующий токен на предъявителя без иной привязки и может предъявить его до прекращения действия, если остальные условия запроса выполнены.
Граница применимости: Редакторский сценарий утечки токена на предъявителя. Ограничения получателя, срока и доступа продолжают действовать; универсальный обход API не утверждается.
Клиенту запрещено передавать токен на предъявителя несколькими способами в одном запросе. Дублирование одного секрета в заголовке Authorization и параметре URL не создаёт дополнительной защиты.
Граница применимости: Способы передачи токена на предъявителя по RFC 6750, раздел 2. Предпочтение заголовка не отменяет TLS и защиты хранилищ.
Предъявление действующего токена на предъявителя с правильным получателем ещё не разрешает произвольное действие. Ресурсный сервер проверяет достаточность полномочий и собственные правила для запрошенного объекта.
Граница применимости: Редакторское разделение владения токеном, ошибок недостаточных полномочий RFC 6750 и прикладной защиты API.
Граница терминов
Не путать
Bearer описывает способ использования токена OAuth, apiKey — отдельную схему API. Оба секрета требуют защиты, а прикладные права задаются независимо.
Перед спецификацией
Что проверить
- Определите, является ли токен предъявительским.
- Используйте защищённый транспорт.
- Выберите один допустимый способ передачи.
- Избегайте размещения токена в URL.
- Исключите токены из журналов.
- Проверьте срок, получателя и доступ к объекту.
- При утечке обработайте прекращение действия токена.
Открытые основания
Первоисточники
- Best Current Practice for OAuth 2.0 Security
Актуализирует OAuth security: exact redirect matching, PKCE, sender-constrained tokens и безопасный refresh-token lifecycle.
Утверждения: 03
- Guidelines for API Protection for Cloud-Native Systems
Задаёт API lifecycle controls для authentication, authorization, rate limits, resource limits, logging и monitoring.
Утверждения: 05
- OAuth 2.0 Demonstrating Proof of Possession
Определяет application-layer proof-of-possession и sender-constrained tokens с защитой от replay.
- OpenAPI Specification v3.1.1
Определяет API security schemes, включая apiKey в header/cookie/query, mutualTLS, OAuth 2.0 и OpenID Connect.