Ein Bearer Token ist ein Zugangstoken, das jedem Zugriff gewährt, der es vorzeigt. Bearer heißt auf Englisch Inhaber oder Überbringer: Wer das Token hat, gilt als berechtigt, ohne dass er sich zusätzlich ausweisen muss.
- Bearer Token
Ein Token, das im Header Authorization mitgeschickt wird und dem Inhaber ohne weiteren Nachweis Zugriff auf eine Schnittstelle gibt.
Beispiel: „Die App schickt bei jeder Anfrage das Bearer Token mit, das sie bei der Anmeldung bekommen hat.“Verwandt: OAuth, das Verfahren, über das Bearer Tokens meist ausgegeben werden; festgelegt ist ihre Verwendung in RFC 6750.
Wie ein Bearer Token übergeben wird
Im Header Authorization, mit dem Wort Bearer davor.
Authorization: Bearer 8f2c1e7a9b3d4f60a1c2e3b4d5f6a7b8Das Token selbst kann eine zufällige Zeichenfolge sein, die der Server in seiner Datenbank nachschlägt, oder ein JWT, das die nötigen Angaben selbst trägt und vom Server nur auf seine Signatur geprüft wird.
Woher ein Bearer Token kommt
Meist aus einer Anmeldung. Bei OAuth tauscht eine Anwendung einen Code oder ihre Zugangsdaten gegen ein Token, das eine begrenzte Zeit gilt. In Laravel vergibt etwa das Paket Sanctum solche Tokens für Apps und Schnittstellen.
Wie du ein Bearer Token schützt
Wie einen Schlüssel, denn genau das ist es. Tokens reisen nur über verschlüsselte Verbindungen per TLS, haben eine kurze Laufzeit und werden nie in Adressen, Protokolle oder Fehlermeldungen geschrieben.
Im Browser ist der Speicherort heikel. Was im Local Storage liegt, kann jedes eingeschleuste Skript lesen; sicherer sind Cookies, auf die JavaScript keinen Zugriff hat.