بعد از هر ورود به سامانه، برای شناسایی کاربر در سمت سرور، رشته ی ناخوانای توکن تولید و به سمت کاربر ارسال می‌شود تا برای هر درخواست در آینده از همان توکن برای تعامل با سمت سرور استفاده شود. در صورتی که توکن پس از مدت معقولی منقضی نشود، مهاجم با سوء استفاده از آن می‌تواند با توکن کاربر دیگر به اکانت همان کاربر نفوذ کند.