Autorização AuthZ
Decidir o que um usuário já autenticado pode fazer.
"A Ana pode apagar este arquivo?" "Esse serviço pode chamar aquela API?" Implementado via RBAC, ABAC, ACL ou policy engines (OPA, Cedar). Erro comum: esquecer de verificar no servidor — "authz no client-side" é furado por definição.