O token de ativação é uma senha?
Não. O token habilita o loader protegido para a sessão atual do navegador; a senha do terminal protege a execução dos comandos.
Duas funções diferentes
A ativação decide se o loader protegido fica disponível para essa sessão do navegador. A autorização do terminal decide quem pode executar comandos. Uma camada não substitui a outra.
Trate a URL como sensível
A ponte remove o token do endereço visível após a ativação, mas não o compartilhe em capturas, chamados ou logs públicos. Se ele for exposto, gere novamente o pacote protegido.