Saltar al contenido
uencoder

Bearer Token

Un token Bearer es un tipo de token que funciona puramente por posesión: se envía en la cabecera Authorization: Bearer <token>, de modo que quien lo posea puede usarlo, sin credenciales adicionales.

Propósito

Proporciona un mecanismo de autenticación simple basado en tokens en el que el propio token es la credencial.

Mecanismo

La cabecera es Authorization: Bearer <token>. El servidor valida la validez y los permisos del token. El token puede ser un JWT, un token opaco, etc. La seguridad depende de HTTPS para evitar fugas en tránsito y de la vida útil del token; una vez filtrado, puede usarse para suplantación.

Casos de uso

  • Autenticación Bearer de API
  • Token de acceso OAuth 2.0
  • Transporte de JWTs
  • Autenticación entre servicios

Ejemplos

  • entrada 
    Authorization: Bearer eyJ...
    Output 
    The server verifies the JWT signature and expiry

    Possession grants validity

Errores comunes

A leaked token is immediately used for impersonation
Use short lifetimes, HTTPS, and a revocation list

Términos relacionados

JWT
JWT (JSON Web Token) es un token compacto y autocontenido que transmite claims de forma segura como objeto JSON, ampliamente usado para autenticación sin estado e intercambio de información.
GLOSARIO
OAuth
OAuth 2.0 es un marco de autorización que permite a aplicaciones de terceros acceder a los recursos del usuario con su consentimiento, sin compartir contraseñas, mediante tokens.
GLOSARIO
Basic Auth
La autenticación básica HTTP envía el usuario y la contraseña codificados en Base64 en la cabecera Authorization; es sencilla pero debe usarse sobre HTTPS.
GLOSARIO

Herramientas relacionadas

Generador de tokens Bearer
Construye una cabecera 'Bearer <token>' (RFC 6750) a partir de una cadena de token. El token se valida contra la sintaxis b64token: los caracteres fuera de letras, dígitos, -._~+/ y un '=' final se rechazan (protege contra inyección de cabeceras).
HERRAMIENTA
Codificador de JWT
Codificar JWT with HS256. Free, private, 100% client-side. Not for server-side verification.
HERRAMIENTA

References