hozzáférési token

angolul: access token

haladóelterjedt

A hozzáférési token ideiglenes digitális belépőkártya: egy karaktersor, amellyel egy program a jelszavad nélkül, korlátozott ideig és jogkörrel érheti el az adataidat.

Érthetően

Gondolj a szállodai szobakártyára. A recepción egyszer igazolod magad, utána már csak a kártyát húzod le: az nyitja a szobádat és talán a wellnesst, de a többi szobát nem, és a kijelentkezés napján magától érvényét veszti. A hozzáférési token ugyanez a digitális világban: egy hosszú, véletlenszerűnek látszó karaktersor, amelyet egy program a belépésed után kap, és minden kérésénél felmutat.

Arra jó, hogy ne kelljen a jelszavadat odaadnod minden alkalmazásnak. Ha egy naptárapp vagy egy AI-agent hozzá akar férni a leveleidhez, nem a jelszavadat kapja meg, hanem egy tokent, amely csak meghatározott dolgokra jogosít, például olvasásra, de törlésre nem.

A jelszótól három dologban különbözik: rövid ideig él (gyakran csak percekig vagy órákig), szűk a jogköre, és külön visszavonható anélkül, hogy a jelszavadat meg kellene változtatnod. Ha elveszik, kisebb a kár, de amíg érvényes, ugyanúgy vigyázni kell rá.

Hogyan működik

Bejelentkezel a szolgáltatónál (például a Google-nél), és jóváhagyod, hogy egy alkalmazás mihez férhet hozzá. Ez az a képernyő, ahol az áll, hogy „az alkalmazás szeretné megtekinteni a naptáradat”.
A szolgáltató ezután kiállít egy tokent, és átadja az alkalmazásnak. A tokenhez tartozik, hogy kié, mire jogosít és meddig érvényes.
Az alkalmazás minden kérésénél elküldi a tokent annak a szervernek, amely az adataidat őrzi, nagyjából úgy, ahogy te lehúzod a kártyát az ajtónál.
A szerver ellenőrzi, hogy a token érvényes-e, és belefér-e a kérés a jogkörébe. Ha igen, kiszolgálja a kérést, ha nem, elutasítja.
Amikor a token lejár, az alkalmazás egy hosszabb életű frissítő tokennel újat kér, vagy neked kell újra bejelentkezned. A hozzáférést a fiókod beállításaiban bármikor visszavonhatod.

Példa a mindennapokból

Egy új weboldalon a „Belépés Google-fiókkal” gombra kattintasz, és jóváhagyod, hogy az oldal lássa a nevedet és az e-mail-címedet. Az oldal ekkor nem a jelszavadat kapja meg, hanem tokeneket: egy azonosító tokent, amely igazolja, ki vagy, és egy hozzáférési tokent, amely pontosan ennyi adat lekérésére jogosítja. Ugyanez történik, amikor egy AI-asszisztenst összekötsz a naptáraddal vagy a tárhelyeddel.

Kit érint

fejlesztőNapi szinten tokenekkel hitelesíti a programjait, és az ő felelőssége, hogy ezek ne kerüljenek ki nyilvános kódba vagy naplófájlba. → Kód

mindenkiValahányszor összekötsz két alkalmazást vagy egy fiókkal lépsz be máshová, tokent adsz ki, és érdemes tudnod, hogy ezt vissza is vonhatod.

vállalkozó, vezetőA cég adataihoz hozzáférő alkalmazások és agentek tokenjei ugyanolyan védendő értékek, mint a jelszavak, ezért kell róluk nyilvántartás és szabály.

banki ügyfél, befektetőAmikor egy pénzügyi alkalmazásnak engedélyezed, hogy lássa a számládat, a bank tokent ad ki neki, nem a netbanki jelszavadat. → Pénz

Gyakori félreértés

TévhitA hozzáférési token ugyanaz, mint az a token, amelyben az AI-modellek a szöveget mérik és számlázzák.

ValójábanA kettőnek csak a neve közös. A nyelvi modell tokenje egy szövegdarab (szó, szótöredék vagy írásjel), a hozzáférési token pedig belépőkártya, amely jogosultságot igazol.

Korlátok és kockázatok

Aki megszerzi a tokenedet, az a lejáratig vagy a visszavonásig a nevedben járhat el, ezért soha ne másold be csevegésbe, e-mailbe vagy nyilvános kódba.
A token csak annyira biztonságos, amennyire szűk a jogköre: ha egy alkalmazás mindenhez hozzáférést kér, és te megadod, mindenhez hozzá is fog férni.
Egy AI-agent a rábízott tokennel mindent megtehet, amit a token enged, akkor is, ha félreérti a kérésedet, vagy egy rosszindulatú szöveg megtéveszti.
A régen engedélyezett, elfelejtett alkalmazások hozzáférése évekig megmaradhat, ezért időnként nézd át a fiókod beállításait, és vond vissza, ami már nem kell.

Hasonló, de nem ugyanaz

jelszó – A jelszót te találod ki, a teljes fiókodat nyitja és addig él, amíg meg nem változtatod, a token viszont gép által kiállított, szűk jogkörű és lejár.
API-kulcs – Az API-kulcs jellemzően hosszú életű, és magát az alkalmazást vagy az előfizetőt azonosítja, a hozzáférési token rövid életű, és egy adott felhasználó adott engedélyéhez kötődik.
token (nyelvi modellben) – A nyelvi modell tokenje a szöveg feldolgozási egysége, semmi köze a hitelesítéshez vagy a jogosultságokhoz.

Kapcsolódó fogalmak

Tágabb

hitelesítés, jogosultságkezelés, kiberbiztonság

Szűkebb

frissítő token, JSON Web Token, bearer token

Rokon

API-kulcs, OAuth, API, kétlépcsős azonosítás, egyszeri bejelentkezés

Röviden a története

Hozzáférési tokeneket az operációs rendszerek és a hálózati hitelesítés már korábban is használtak, a mai webes értelemben vett tokent azonban az OAuth tette általánossá. Az első OAuth-változat 2007-ben készült el, az OAuth 2.0 keretrendszert pedig 2012 októberében adta ki az IETF az RFC 6749 számon. A cél az volt, hogy az alkalmazásoknak ne kelljen elkérniük a felhasználók jelszavát. Az OAuth 2.1 a bevált biztonsági gyakorlatokat foglalja egységbe.

Hol tart most

2026 végén szinte minden webes és mobilos szolgáltatás tokenekkel kezeli a hozzáférést. Az aktuális kérdés az, hogyan kapjanak az AI-agentek szűk jogkörű, rövid életű és jól nyomon követhető tokeneket. Az agenteket külső eszközökhöz kapcsoló protokollok, például az MCP, ehhez szintén az OAuth-ra építenek.

Állapot: 2026. november

A hírekben

1 Agent Age-sztoriban fordul elő; a görbe a hírmagazin heti előfordulása.

A LiteLLM-et a Claude Code-ból kiszivárgott GitHub-tokenekkel mérgezték meg2026. okt. 26. · Kód

Más nevei

hozzáférési token · access token · hozzáférési kulcs · bearer token · OAuth-token · API-token · személyes hozzáférési token (PAT)

Források

A szócikk gépi szerkesztéssel készült és gépi szakmai lektoráláson ment át; a „hírekben” rész az Agent Age sztorijaiból automatikusan frissül.