認証が済んだ証として、一時的に発行される文字列。
ログインなどで本人確認が済んだあと、サーバーはその証拠として一定時間だけ有効な文字列（トークン）を発行する。以降のリクエストではこのトークンを提示するだけで、毎回IDとパスワードを送り直さなくて済む。
トークンが漏れると、それを持っている人が本人になりすませてしまう。有効期限を短くしたり、用途ごとに発行し直したりするのが基本的な対策になる。