O que é token?

Na prática, depois que você faz login em um aplicativo ou site, o sistema costuma entregar um token que fica guardado e é enviado automaticamente em cada pedido seguinte, provando que a sessão é válida. Muitos tokens têm prazo de validade e podem ser revogados pelo serviço quando necessário.

Uma analogia simples é pensar em uma pulseira de festa: você apresenta seus documentos na entrada, recebe a pulseira e, a partir daí, ela basta para entrar e sair dos espaços liberados até o fim do evento.

Por que importa: quem tem o token pode agir como se fosse você, mesmo sem saber a senha, por isso ele deve ser tratado como um segredo. Não compartilhe tokens, não os coloque em códigos publicados e revogue sessões antigas ou desconhecidas quando o serviço oferecer essa opção.