Ein Magic Link ist ein einmalig gültiger Anmeldelink, der per E-Mail zugestellt wird und den Zugang zu einem Konto ohne Passwort ermöglicht. Nach Eingabe der E-Mail-Adresse erzeugt die Anwendung ein zufälliges Token, verschickt es als Link und meldet die Person beim Aufruf an; danach verfällt das Token. Üblich sind kurze Gültigkeitsfristen von wenigen Minuten.
Der Vorteil liegt darin, dass kein Passwort gespeichert, vergessen oder mehrfach verwendet werden kann, und dass die Grenze zwischen Registrierung und Anmeldung verschwimmt. Für Anwendungen mit seltener Nutzung, etwa Kundenportale oder Buchungsübersichten, senkt das die Hürde spürbar.
Die Sicherheit verschiebt sich damit vollständig auf das E-Mail-Postfach: Wer Zugriff darauf hat, kommt in jedes so geschützte Konto. Hinzu kommen praktische Hürden, etwa Verzögerungen bei der Zustellung, Links im Spam-Ordner oder Sicherheitsscanner in Unternehmen, die den Link beim Prüfen bereits aufrufen und dadurch entwerten.