Diversi analisti hanno però evidenziato che i nuovi sistemi di autenticazione alternativi alle classifiche password, come i token per le API, possano essere anche più rischiosi delle password banali in termini di sicurezza.
Cambiare password non revoca il token, per farlo è necessario accedere ad un pannello dedicato, presente in quasi tutti i servizi Web che permettono di interfacciarsi con applicazioni di terze parti, che molto spesso viene nascosto.