Il problema che la CAE risolve: i token di sessione tradizionali durano a lungo (per non chiedere il login di continuo), ma se un token viene rubato (via AiTM, infostealer, XSS), rimane valido fino alla scadenza – anche se l'utente ha cambiato password, anche se l'account è stato disabilitato. C'è una finestra in cui il ladro usa una sessione che dovrebbe essere già morta.
La Continuous Access Evaluation chiude quella finestra rendendo la revoca quasi in tempo reale: invece di aspettare la scadenza del token, i servizi valutano continuamente eventi critici – account disabilitato, password cambiata, rischio elevato rilevato, cambio di rete – e invalidano la sessione subito, spingendo l'utente a riautenticarsi. Un token rubato viene neutralizzato in minuti, non in ore.
Si combina con il token binding (legare il token al dispositivo, così un token esfiltrato e usato altrove non funziona) e la conditional access. È un concetto enterprise (Entra ID, standard OpenID SSF/CAEP), ma il principio vale ovunque gestisci sessioni: le sessioni lunghe sono comode e pericolose – più durano, più valgono da rubare. Le contromisure pratiche a ogni scala: rotazione delle chiavi/token di sessione, scadenze ragionevoli, revoca effettiva (non solo teorica) al cambio password/logout, e passkey per non farsi rubare le credenziali in primo luogo.