Aðgangslykill, á ensku access token, er tákn sem þjónusta gefur forriti eða notanda til að sýna að hann hafi leyfi til tiltekinna aðgerða, oft í takmarkaðan tíma. Þegar forrit kallar á forritaskil sendir það lykilinn með beiðninni í stað notandanafns og lykilorðs.
Ef lykillinn lekur getur hver sem er notað hann. Hann á því ekki að vera í kóða sem er deilt, í samtali við gervigreind eða í opinberum skjölum. Hafi hann lekið þarf að afturkalla hann og búa til nýjan.