Come distinguere il processo di verifica dell'identità dell'utente dal processo di determinazione dei suoi diritti di accesso nel sistema?

Il processo di verifica dell'identità dell'utente si chiama autenticazione. Risponde alla domanda: «Chi sei?» — cioè conferma che l'utente è effettivamente chi dice di essere. Ad esempio, inserimento di login e password, biometria o un codice monouso.

Il processo di determinazione dei diritti dell'utente si chiama autorizzazione. Risponde alla domanda: «Cosa ti è permesso fare?» — cioè verifica quali risorse e azioni sono accessibili a quell'utente dopo un'autenticazione riuscita.

Esempio:

• L'utente inserisce login e password — avviene l'autenticazione.
• Dopo l'accesso riuscito, il sistema verifica se l'utente ha i diritti di visualizzare una pagina specifica o di eseguire un'operazione — questa è l'autorizzazione.

In questo modo, l'autenticazione conferma l'identità, e l'autorizzazione i diritti di accesso.