DAT (Distributed Access Token) es un token de autenticación distribuido en el que todos los servidores que emiten y verifican sesiones solo necesitan compartir una única especificación. Está construido sobre campos binarios de ancho fijo, por lo que se lee y se escribe directamente por desplazamiento sin coste de análisis, y el propio protocolo separa la ventana de emisión del TTL para que la rotación de certificados (key rolling) pueda imponerse con independencia del lenguaje o de la implementación.

El DAT Certificate Management Service (CMS) se encarga automáticamente de la creación, la propagación y la expiración de los certificados de todo el clúster según una planificación programada (Cron), de modo que las claves pueden rotar de forma segura sin que los tokens ya emitidos fallen la verificación porque varios servidores todavía no hayan sincronizado por completo el nuevo certificado.

Solo el servidor de inicio de sesión recibe certificados con los que puede emitir; los servidores de contenido reciben certificados de solo verificación y comprueban con ellos el DAT que llega. El usuario trata con un único servicio y un servidor de contenido nunca tiene que hablar con el servidor de inicio de sesión.