Bearer token ve API kimlik doğrulaması

Kısaca: Bearer token, bir istemcinin her API isteğinde başlıkta gönderdiği bir erişim anahtarıdır: Authorization: Bearer <token>. Token’a sahip olan (“bearer” = taşıyıcı) erişim kazanır.

Biraz daha ayrıntılı: Token girişten sonra verilir. Sunucu her istekte geçerli olup olmadığını denetler ve böylece her seferinde parola ve oturum iletmeden kimin istekte bulunduğunu bilir.

Ayrıntılı

• Türler: Sunucunun aradığı rastgele opak dizeler veya veri ve imza içeren JWT gibi kendi kendine yeten token’lar.
• OAuth: Erişim token’ı (OAuth 2.0) çoğunlukla kısa ömürlü bir bearer token’dır; yenisini almak için bir refresh token ile tamamlanır.
• Risk: Token’a sahip olan herkes onu kullanabilir. Bu yüzden yalnızca HTTPS ile gönder, kısa geçerlilik, hakları sınırla (scope), URL’lere veya günlüklere yazma.
• Tarayıcıda saklama: localStorage XSS ile okunabilir, HttpOnly çerez okunamaz (ama CSRF koruması gerekir). Bkz. XSS ve CSRF.
• İptal: Opak token’lar sunucu tarafında engellenebilir. Saf JWT’ler, bir yasak listesi tutmuyorsan süresi dolana dek geçerlidir.
• Alternatifler: API anahtarları (uzun ömürlü, sunucular için), oturum çerezleri (tarayıcı sayfaları için), mTLS.

Ayrıca bak: İki faktörlü giriş