トークンとは、サービスが「この相手は許可されている」と確かめるために使う、長い文字列の合言葉のことです。パスワードの代わりに使われ、有効期限や使える範囲が決められているものが多くあります。
仕組み
利用者や社内アプリが一度本人確認を済ませると、サービスはその証拠としてトークンを発行します。以後の通信ではパスワードの代わりにこのトークンを添えて送り、サービス側が正しいかどうかを確かめます。トークンには、使える機能の範囲や有効期限が設定されることがあります。
メリット
パスワードそのものを何度もやり取りしなくて済むため、漏れるリスクを下げられます。期限や権限を限定しておけば、万一流出しても被害を小さくできます。問題が起きたときは、そのトークンだけを無効にして再発行できます。
注意点
トークンは持っているだけでアクセスできる場合が多く、パスワードと同じように大切に扱う必要があります。チャットや公開された場所に貼り付けたり、ソースコードに直接書いたりしないでください。流出した疑いがあるときは、すぐに無効化して新しいものに替えます。
