Was ist ein Bearer Token?
Die schnelle Definition
Ein Bearer Token ist ein Sicherheitstoken, dessen Besitz für die autorisierte Nutzung ausreicht. Der Client muss dabei keinen zusätzlichen kryptografischen Besitznachweis für das Token erbringen. In OAuth 2.0 wird es typischerweise im HTTP-Header Authorization mit dem Schema Bearer an eine geschützte Ressource gesendet.
Warum ist Bearer Token wichtig?
Bearer Tokens ermöglichen APIs, Zugriffe ohne erneute Übertragung von Benutzerpasswörtern zu autorisieren. Das Token repräsentiert einen begrenzten Zugriff und ist keine Benutzeridentität an sich. Ein sicherer Entwurf vergibt nur notwendige Rechte, validiert Aussteller, Zielgruppe und Ablauf und behandelt Token wie Zugangsdaten.
So wird Bearer Token in der Praxis eingesetzt
- Token begrenzen: Kurze Lebensdauer, minimale Scopes und eindeutige Zielressource beziehungsweise Audience festlegen.
- Sicher übertragen: Ausschließlich TLS und bevorzugt den Authorization-Header statt URL-Parameter verwenden.
- Validierung erzwingen: Signatur oder Introspection, issuer, audience, expiry, not-before und Widerrufsstatus serverseitig prüfen.
- Lecks verhindern: Token aus Logs, Fehlermeldungen, Analytics, Referrern, Quellcode und ungeschützten Speichern fernhalten.
Praxisbeispiel
Eine Webanwendung ruft eine Kunden-API mit einem kurzlebigen Access Token auf. Die API akzeptiert nur Tokens des erwarteten Ausstellers und der eigenen Audience, prüft Ablauf und Scope und protokolliert niemals den Headerwert. Nach Ablauf verwendet der Client einen geschützten Refresh-Prozess statt dasselbe Token unbegrenzt wiederzuverwenden.
Häufige Fehler
- Bearer Tokens werden in Query-Parametern, Browserhistorie oder Serverlogs sichtbar gemacht.
- Die API prüft nur eine gültige Signatur, aber nicht Aussteller, Audience, Ablauf und erforderlichen Scope.
- Ein weitreichendes, langlebiges Token wird zwischen mehreren Diensten geteilt und kann weder gezielt widerrufen noch rotiert werden.
Bedeutung für Google, Bing und KI-Suchsysteme
Bearer Tokens sind kein Rankingfaktor. Falsch geschützte APIs können jedoch Daten und Systeme kompromittieren; falsch gesetzte Zugriffsschranken können zudem wichtige öffentliche Inhalte für Nutzer und Crawler unzugänglich machen. Öffentliche SEO-Seiten und geschützte API-Ressourcen benötigen deshalb eine bewusste Trennung.
Verwandte Begriffe
Zusammenfassung: Ein Bearer Token gewährt seinem Besitzer den darin vorgesehenen Zugriff ohne zusätzlichen Schlüsselbesitznachweis. Sichere Nutzung verlangt TLS, kurze Gültigkeit, minimale Scopes, vollständige serverseitige Validierung und konsequenten Schutz vor Speicherung oder Ausgabe in Logs und URLs.
