¿El token de activación es una contraseña?
No. El token habilita el cargador protegido para la sesión actual del navegador; la contraseña del terminal protege la ejecución de comandos.
Dos funciones distintas
La activación decide si el cargador protegido está disponible para esa sesión del navegador. La autorización del terminal decide quién puede ejecutar comandos. Una capa no sustituye a la otra.
Trate la URL como dato sensible
El puente quita el token de la dirección visible después de activarlo, pero no lo comparta en capturas, tickets o registros públicos. Si queda expuesto, genere de nuevo el paquete protegido.