アクセストークン.

認可サーバーが発行する短命の資格情報で、クライアントは API に提示してユーザーやサービスの代わりに保護リソースへアクセスする。 サイバーセキュリティの ID とアクセス カテゴリに属します。

認可サーバーが発行する短命の資格情報で、クライアントは API に提示してユーザーやサービスの代わりに保護リソースへアクセスする。

アクセストークンは、リソース所有者がクライアントに与えた認可を表し、スコープとオーディエンスで制限されます。OAuth 2.0 と OpenID Connect では、不透明トークン(イントロスペクションで検証)と自己完結型の JWT(署名でローカル検証)があります。通常は Authorization: Bearer ヘッダーで TLS 上を送信します。ベストプラクティスは短い有効期間(分単位)、最小スコープ、aud と iss の検証、可能な限り JS メモリ外に保管することです。更新にはリフレッシュトークンを併用し、重要 API には DPoP や mTLS バウンドなどの送信者拘束型を採用してください。

アクセストークン に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。