DAT (Distributed Access Token) est un token d'authentification distribué : tous les serveurs qui émettent et vérifient des sessions n'ont besoin de partager qu'une seule spécification. Construit sur des champs binaires de largeur fixe, il lit et écrit directement par décalage, sans coût d'analyse, et sépare au niveau du protocole la fenêtre d'émission du TTL afin que le renouvellement des certificats (rotation de clés) puisse être imposé indépendamment du langage et de l'implémentation.

Le DAT Certificate Management Service (CMS) prend automatiquement en charge la création, la propagation et l'expiration des certificats sur l'ensemble du cluster selon une planification (Cron), ce qui permet de faire tourner les clés en toute sécurité, sans qu'un token émis n'échoue à la vérification avant que tous les serveurs aient totalement synchronisé le nouveau certificat.

Seul le serveur de connexion reçoit des certificats capables d’émettre ; les serveurs de contenu ne reçoivent que des certificats de vérification et contrôlent le DAT reçu. L’utilisateur ne s’adresse qu’à un seul service, et un serveur de contenu n’a jamais à parler au serveur de connexion.