Autorizzazione
Decidere che cosa può fare un utente già autenticato.
«Anna può eliminare questo file?» «Questo servizio può chiamare quell'API?» Si implementa con RBAC, ABAC, ACL o motori di policy (OPA, Cedar). Errore frequente: dimenticare il controllo lato server (l'«authz lato client» non funziona).