Zum Inhalt springen
uencoder

Bearer Token

Ein Bearer-Token ist ein Tokentyp, der rein über den Besitz funktioniert: Er wird im Header Authorization: Bearer <token> gesendet, sodass jeder, der ihn besitzt, ihn verwenden kann — ohne zusätzliche Zugangsdaten.

Zweck

Bietet einen einfachen tokenbasierten Authentifizierungsmechanismus, bei dem der Token selbst die Zugangsdaten sind.

Mechanismus

Der Header lautet Authorization: Bearer <token>. Der Server prüft Gültigkeit und Berechtigungen des Tokens. Der Token kann ein JWT, ein opaker Token usw. sein. Die Sicherheit beruht auf HTTPS gegen Leakage beim Transport und auf der Token-Lebensdauer; einmal geleakt, kann er für Identitätsmissbrauch verwendet werden.

Anwendungsfälle

  • API-Bearer-Authentifizierung
  • OAuth-2.0-Zugriffstoken
  • Übermittlung von JWTs
  • Dienst-zu-Dienst-Authentifizierung

Beispiele

  • Eingabe 
    Authorization: Bearer eyJ...
    Output 
    The server verifies the JWT signature and expiry

    Possession grants validity

Häufige Fehler

A leaked token is immediately used for impersonation
Use short lifetimes, HTTPS, and a revocation list

Verwandte Begriffe

JWT
JWT (JSON Web Token) ist ein kompakter, in sich geschlossener Token, der Claims sicher als JSON-Objekt übermittelt; weit verbreitet für zustandslose Authentifizierung und Informationsaustausch.
GLOSSAR
OAuth
OAuth 2.0 ist ein Autorisierungsframework, das Drittanbieter-Apps mit Zustimmung des Benutzers per Token auf dessen Ressourcen zugreifen lässt, ohne Passwörter zu teilen.
GLOSSAR
Basic Auth
Die HTTP-Basisauthentifizierung sendet Benutzername und Passwort Base64-kodiert im Authorization-Header; sie ist einfach, muss aber über HTTPS eingesetzt werden.
GLOSSAR

Verwandte Tools

Bearer-Token-Generator
Erzeugt einen „Bearer <token>“-Header (RFC 6750) aus einer Token-Zeichenkette. Der Token wird gegen die b64token-Syntax geprüft: Zeichen außerhalb von Buchstaben, Ziffern, -._~+/ und einem führenden „=“ werden abgelehnt (schützt vor Header-Injection).
WERKZEUG
JWT-Kodierer
Codieren JWT with HS256. Free, private, 100% client-side. Not for server-side verification.
WERKZEUG

References